1874

摘要： 用户认证只是验证对应客户端是否是合法客户端，这里的验证的机制是一票通过的机制；所谓一票通过是指在APIserver上有多种验证机制（方法），它会从上至下依次进行验证，如果对应验证方法没有明确拒绝，接着它会用下一个验证方法，直到有一个机制通过以后，余下的就不验证了；比如，在k8s上有证书验证，用户名密码验证，token验证，如果此时有一个客户端拿着一个token来登陆APIserver，此时APIserver就会先用证书验证的方法验证客户端，如果对应验证方法没有明确拒绝，说明此方法不识别对应的客户端信息，接着它会用用户名密码的方法进行验证，如果对应方法也没有明确拒绝，接着它会用token方法进行验证，如果对应方法通过了，那么接下来的其他方法验证就不会再进行下去；如果所有验证方法都没有拒绝，说明该客户端提供的认证信息在k8s上不适配，此时apiserver 就会把对应客户端归纳为匿名用户；当然此类用户虽然登陆到APIserver上，但它没有权限操作资源； 阅读全文