#使用 KubeConfig 访问集群

#简介

当你需要通过 CLI（ac）、kubectl、helm、client-go 或类似的 Kubernetes 客户端从本地访问集群时，请使用 KubeConfig。

KubeConfig 文件是一个 YAML 客户端配置文件，它不是 Kubernetes 资源。KubeConfig 文件通常定义目标集群端点、客户端凭证以及将二者组合起来的上下文。

CLI（ac）使用标准 kubeconfig，并提供类似 kubectl 的体验。它与 kubectl 工作流兼容，同时还增加了平台特定的上下文、集群和会话操作。如果你已经使用 ac login， CLI 可以自动配置 kubeconfig 并创建上下文。下面的访问路径包括从平台下载的 KubeConfig 文件，以及手动组装的基于令牌的 KubeConfig 文件。

#适用场景

在以下场景中使用这些访问路径：

• 集群管理员需要一个可直接使用的 KubeConfig，用于集群管理、故障排查或检查。
• 开发人员或项目用户需要一个与其自身 身份和 RBAC 权限相匹配的 KubeConfig。
• 流水线或连接器需要一个与个人日常账号相独立的凭证。

#选择访问路径

使用下表选择合适的访问路径：

如果你需要更严格的身份隔离或更短的生命周期控制，请使用基于令牌的 KubeConfig，而不是长期重复使用下载的文件。

#前提条件

开始之前，请确保满足以下条件：

• 你可以登录 并访问目标集群。
• 你已在本地机器上安装 CLI（ac）或 kubectl，并将在该机器上使用 KubeConfig 文件。
• 如果你想使用基于令牌的 KubeConfig，可以从 Profile > API Tokens 创建一个 API 令牌。有关详细信息，请参见 简介。
• 如果你想将 KubeConfig 用于流水线或连接器，请在创建其令牌之前准备一个专用账号，并只授予所需权限。

#操作步骤

#下载并使用平台提供的 KubeConfig

当你需要直接使用平台提供的 KubeConfig 文件访问集群时，请使用此路径。

export KUBECONFIG="$HOME/.kube/<cluster-name>.yaml"
kubectl config get-contexts
kubectl config current-context
ac config current-context

kubectl get nodes
kubectl get pods -A
ac get nodes
ac get pods -A

当你需要进行集群管理时，可以直接使用这个下载的文件。你也可以将其作为模板，构建一个同时适用于 ac 和 kubectl 的基于令牌的 KubeConfig。

#使用自己的 API 令牌构建基于令牌的 KubeConfig

当你希望 KubeConfig 权限与某个特定的 用户或自动化账号保持一致时，请使用此路径。

此路径不会提升权限。KubeConfig 文件仅包含连接和认证设置。实际访问边界仍然取决于令牌所有者及该身份的 RBAC 分配。

https://<platform-access-address>/kubernetes/<cluster-name>

apiVersion: v1
kind: Config
clusters:
  - name: <cluster-name>
    cluster:
      server: https://<platform-access-address>/kubernetes/<cluster-name>
      certificate-authority-data: <base64-encoded-ca-data>
users:
  - name: <user-name>
    user:
      token: <platform-api-token>
contexts:
  - name: <context-name>
    context:
      cluster: <cluster-name>
      user: <user-name>
      namespace: <namespace>
current-context: <context-name>

export KUBECONFIG="$HOME/.kube/<user-or-automation>.yaml"
kubectl auth can-i get pods -n <namespace>
kubectl get pods -n <namespace>
ac config current-context
ac get pods -n <namespace>

#为流水线或连接器访问使用专用账号

对于流水线或连接器访问，请使用专用账号，而不是个人用户账号：

1. 为流水线或连接器创建一个专用账号。
2. 仅向该账号授予所需的项目级或租户级权限。
3. 为该账号创建一个 API 令牌。
4. 使用该令牌构建一个基于令牌的 KubeConfig。
5. 将令牌或 KubeConfig 文件存储在自动化平台的密钥管理系统中。
6. 通过创建新令牌、更新密钥并吊销旧令牌来轮换凭证。

这种模式可为自动化提供独立凭证，但在 中并不存在原生的项目级 KubeConfig 对象。

#生命周期与吊销

生命周期行为取决于你使用的访问路径：

如果你需要更短的有效期或更便捷的吊销方式，请优先使用基于令牌的路径。

#验证

准备好 KubeConfig 文件后，请执行以下检查：

1. 运行 kubectl config get-contexts，确认所需上下文存在。
2. 运行只读命令，例如 kubectl get pods -A 或 kubectl get pods -n <namespace>，并确认响应与预期访问范围一致。
3. 对于基于令牌的 KubeConfig，运行 kubectl auth can-i <verb> <resource> -n <namespace>，并确认结果与令牌所有者的角色一致。
4. 如果你使用 CLI，请运行 ac config current-context 或 ac namespace，并确认当前活动上下文与预期的集群和命名空间一致。
5. 如果你使用 CLI，请运行 ac get pods -n <namespace> 或 ac get nodes，并确认响应与预期访问范围一致。

#后续步骤

• 有关 API 令牌管理，请参见 简介。
• 有关 CLI 基础知识，请参见 CLI 入门。
• 有关 CLI 上下文和会话管理，请参见 管理 CLI 配置文件。
• 有关 CLI 与 kubectl 的兼容性，请参见 ac 和 kubectl 命令的使用。