从 Pod 访问 Kubernetes API
本指南演示了如何从 Pod 内部访问 Kubernetes API。
准备工作
你需要有一个 Kubernetes 集群,并且 kubectl 命令行工具已配置为与你的集群通信。 建议在至少有两个不作为控制平面主机的节点集群上运行本教程。 如果你还没有集群,可以使用 minikube 创建一个集群,或者使用这些 Kubernetes 演练场之一
从 Pod 内部访问 API
从 Pod 内部访问 API 时,API 服务器的定位和身份认证与外部客户端略有不同。
从 Pod 内部使用 Kubernetes API 最简单的方法是使用官方的客户端库之一。这些库可以自动发现 API 服务器并进行身份认证。
使用官方客户端库
在 Pod 内部,连接 Kubernetes API 的推荐方式是:
对于 Go 客户端,使用官方的 Go 客户端库。
rest.InClusterConfig()
函数会自动处理 API 主机发现和身份认证。请参阅此处示例。对于 Python 客户端,使用官方的 Python 客户端库。
config.load_incluster_config()
函数会自动处理 API 主机发现和身份认证。请参阅此处示例。还有许多其他可用的库,请参阅客户端库页面。
在每种情况下,Pod 的服务帐户凭据都用于与 API 服务器进行安全通信。
直接访问 REST API
在 Pod 中运行时,容器可以通过获取 `KUBERNETES_SERVICE_HOST` 和 `KUBERNETES_SERVICE_PORT_HTTPS` 环境变量来为 Kubernetes API 服务器创建 HTTPS URL。API 服务器的集群内地址也发布到 `default` 命名空间中名为 `kubernetes` 的 Service,以便 Pod 可以将 `kubernetes.default.svc` 作为本地 API 服务器的 DNS 名称引用。
注意
Kubernetes 不保证 API 服务器对于主机名 `kubernetes.default.svc` 拥有有效证书;然而,控制平面**预期**为 `$KUBERNETES_SERVICE_HOST` 所代表的主机名或 IP 地址提供有效证书。与 API 服务器通信时,推荐使用服务账号凭据。 默认情况下,Pod 会关联一个服务账号,该服务账号的凭据(令牌)会被放置到 Pod 中每个容器的文件系统树中,路径为 /var/run/secrets/kubernetes.io/serviceaccount/token
。
如果可用,证书包将放置在每个容器的文件系统树中,路径为 `/var/run/secrets/kubernetes.io/serviceaccount/ca.crt`,应用于验证 API 服务器的服务器证书。
最后,用于命名空间 API 操作的默认命名空间位于每个容器中文件 /var/run/secrets/kubernetes.io/serviceaccount/namespace
。
使用 kubectl proxy
如果你想在没有官方客户端库的情况下查询 API,可以在 Pod 中运行 `kubectl proxy` 作为新sidecar 容器的命令。 这样,`kubectl proxy` 将向 API 进行身份认证,并将其暴露在 Pod 的 `localhost` 接口上,以便 Pod 中的其他容器可以直接使用它。
不使用代理
可以通过将身份验证令牌直接传递给 API 服务器来避免使用 kubectl 代理。 内部证书可确保连接安全。
# Point to the internal API server hostname
APISERVER=https://kubernetes.default.svc
# Path to ServiceAccount token
SERVICEACCOUNT=/var/run/secrets/kubernetes.io/serviceaccount
# Read this Pod's namespace
NAMESPACE=$(cat ${SERVICEACCOUNT}/namespace)
# Read the ServiceAccount bearer token
TOKEN=$(cat ${SERVICEACCOUNT}/token)
# Reference the internal certificate authority (CA)
CACERT=${SERVICEACCOUNT}/ca.crt
# Explore the API with TOKEN
curl --cacert ${CACERT} --header "Authorization: Bearer ${TOKEN}" -X GET ${APISERVER}/api
输出将类似于此
{
"kind": "APIVersions",
"versions": ["v1"],
"serverAddressByClientCIDRs": [
{
"clientCIDR": "0.0.0.0/0",
"serverAddress": "10.0.1.149:443"
}
]
}