Peta dunia

 

EN

Dunia K9: Pentadbir Kluster

Pengguna: CSR, sijil dan kubeconfig

Anda akan belajar: cara orang baharu dapat kad pengenalan bertandatangan, dan kenapa mereka masih perlukan hak RBAC.

Teks BM belum disemak oleh penutur asli.

Disemak dengan Kubernetes 1.37 pada 1 Nov 2026

Masalahnya

Aina sertai pasukan dapur. Di mana anda tambah dia sebagai pengguna Kubernetes?

Tengok

Ketik setiap titik pada garis masa.

Ketik setiap langkah lencana staf baharu. CSR (permohonan tandatangan sijil) (CSR (certificate signing request)): Borang yang minta pejabat tandatangan kad pengenalan baharu. Ia bawa nama (CN) dan pasukan (O). ialah borang yang minta pejabat tandatangan lencana itu.

Cuba

Bina permohonan Aina. CN ialah namanya. O ialah pasukannya.

Ketik kepingan ikut turutan yang betul.

…

Cuba

CSR ini minta kad untuk server. Aina log masuk sebagai klien. Baiki usage-nya.

Ubah YAML ini. Kotak di bawah tunjuk cara komputer membacanya.

aina-csr.yaml12 baris

Cara komputer membacanya

  • apiVersioncertificates.k8s.io/v1teks
  • kindCertificateSigningRequestteks
  • metadatamap · 1 kunci
    • nameainateks
  • specmap · 4 kunci
    • requestLS0tLS1CRUdJTiBDRVJUSUZJQ0FURSBSRVFVRVNULS0tLS0Kteks
    • signerNamekubernetes.io/kube-apiserver-clientteks
    • expirationSeconds86400nombor
    • usagessenarai · 1 item
      • item 1server authteks

Teka

Anda jalankan kubectl certificate approve aina. Dia log masuk dengan kad baharunya. Bolehkah dia senaraikan dulang?

Cuba

Role cook (baca dulang) sudah ada. Ikat ia kepada pengguna aina. Kemudian tanya sebagai dia.

Anda di sini: kluster kind-dev namespace default
dev-control-planeBukaPengurus

Tiada dulang di sini.

dev-workerBuka
  • shop·cnpkq
  • shop·p48s7
dev-worker2Buka
  • shop·n6vrq
Masa: +0s (dipercepat)

Semak

Siapa anda, atau apa yang anda boleh buat? Susun ikut kumpulan.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

      Semak

      Kad Aina sudah ditandatangan. Susun langkah kubeconfig-nya ikut urutan.

      Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

      • kubectl --context aina auth whoami
      • kubectl config set-context aina --cluster=kind-dev --user=aina
      • kubectl config set-credentials aina --client-key=aina.key --client-certificate=aina.crt --embed-certs=true
      • kubectl get csr aina -o jsonpath='{.status.certificate}' | base64 -d > aina.crt

      Anda berjaya!

      Kini anda boleh tandatangan kad pengguna baharu dan beri hak yang betul.

      Nak tahu lebih (pilihan)

      expirationSeconds: 86400 minta kad untuk sehari. Paling singkat 10 minit. Terminal latihan kami tiada objek CSR, jadi buat bahagian ini pada kind. Jangan kongsi atau commit fail .key.

      Misi sebenar

      1. openssl genrsa -out aina.key 3072
      2. openssl req -new -key aina.key -out aina.csr -subj "/CN=aina/O=kitchen"
      3. cat aina.csr | base64 | tr -d "\n"
      4. kubectl apply -f aina-csr.yaml && kubectl certificate approve aina
      5. kubectl get csr aina

      0 daripada 5 langkah siap · Tanda anda disimpan.