Python 使用 Token 认证方案连接 Kubernetes (k8s) 的详细过程

在 Kubernetes 中，使用 Token 认证是一种常见的客户端身份验证方式，尤其适用于 ServiceAccount。以下是详细的步骤，包括如何查看 Token、获取 API 服务地址、配置远程连接，以及如何在 Python 中连接 k8s。

1. 获取 Token

首先，您需要创建一个 ServiceAccount 并为其分配适当的角色和权限。以下是一个示例，创建一个名为 admin 的 ServiceAccount 并赋予集群管理员权限：

kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: admin
  annotations:
    rbac.authorization.kubernetes.io/autoupdate: "true"
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  name: admin
  namespace: kube-system

创建完成后，您可以通过以下命令获取 Secret 中的 Token 值：

# 获取 admin-token 的 Secret 名字
$ kubectl -n kube-system get secret | grep admin-token

# 获取 Token 的值
$ kubectl -n kube-system describe secret <secret-name>

您也可以使用 jsonpath 的方式直接获取 Token 的值：

kubectl -n kube-system get secret <secret-name> -o jsonpath={.data.token}|base64 -d

请注意，Token 值是 base64 编码的，需要解码后使用。

2. 获取 API 服务地址

您可以通过以下命令获取集群的 API 服务器地址：

kubectl cluster-info

这将显示 Kubernetes 控制平面的地址，例如 https://k8s-api:6443 。

3. 配置远程连接

如果您需要从集群外部访问 Kubernetes API，您可能需要配置 API 服务器以允许远程访问。这通常涉及到设置防火墙规则、网络策略以及可能的负载均衡器配置。

4. Python 连接 Kubernetes

在 Python 中，您可以使用 Kubernetes 的官方 Python 客户端库 kubernetes 来连接和操作 Kubernetes 集群。以下是如何使用 Token 认证连接 Kubernetes 的步骤：

首先，安装 Kubernetes Python 客户端库：

pip install kubernetes

然后，使用以下 Python 代码连接 Kubernetes：

from kubernetes import client, config

# 定义 Token 和 API 服务器地址
Token = "your_token_here"
APISERVER = "https://your_api_server:6443"

# 创建配置对象
configuration = client.Configuration()
configuration.host = APISERVER
configuration.verify_ssl = False  # 如果您不验证 SSL 证书
configuration.api_key = {"authorization": "Bearer " + Token}

# 使用配置创建 API 对象
api_instance = client.CoreV1Api(client.ApiClient(configuration=configuration))

# 列出所有 Pod
print(api_instance.list_pod_for_all_namespaces())

请确保替换 your_token_here 和 your_api_server:6443 为您的实际 Token 和 API 服务器地址。如果您的集群配置了 SSL 证书验证，您需要设置 configuration.verify_ssl 为 True 并提供 CA 证书路径。

通过以上步骤，您可以使用 Token 认证方案在 Python 中连接和操作 Kubernetes 集群。这种方法适用于需要从集群外部或在集群内部使用 ServiceAccount 进行 API 调用的场景。