2025年kubelet功能（kubelet主要功能）

编程日记 • 2025-02-23 18:33 • 阅读 25

kubelet 的 HTTPS 端点公开了 API，这些 API 可以访问敏感度不同的数据，并允许你在节点上和容器内以不同级别的权限执行操作。

本文档介绍了如何对 kubelet 的 HTTPS 端点的访问进行认证和鉴权。

默认情况下，未被已配置的其他身份认证方法拒绝的对 kubelet 的 HTTPS 端点的请求会被视为匿名请求，并被赋予用户名和组。

要禁用匿名访问并向未经身份认证的请求发送响应，请执行以下操作：

要对 kubelet 的 HTTPS 端点启用 X509 客户端证书认证：

要启用 API 持有者令牌（包括服务帐户令牌）以对 kubelet 的 HTTPS 端点进行身份验证，请执行以下操作：

任何成功通过身份验证的请求（包括匿名请求）之后都会被鉴权。默认的鉴权模式为，它允许所有请求。

细分对 kubelet API 的访问权限可能有多种原因：

要细分对 kubelet API 的访问权限，请将鉴权委派给 API 服务器：

kubelet 使用与 API 服务器相同的请求属性方法对 API 请求执行鉴权。

请求的动词根据传入请求的 HTTP 动词确定：

HTTP 动词请求动词POSTcreateGET, HEADgetPUTupdatePATCHpatchDELETEdelete

资源和子资源是根据传入请求的路径确定的：

Kubelet API资源子资源/stats/*nodesstats/metrics/*nodesmetrics/logs/*nodeslog/spec/*nodesspec/checkpoint/*nodescheckpoint其它所有nodesproxy

名字空间和 API 组属性始终是空字符串，资源名称始终是 kubelet 的 API 对象的名称。

在此模式下运行时，请确保传递给 API 服务器的由和标志标识的用户具有以下属性的鉴权：