基于角色的访问控制,Docker EE 为 Kubernetes 护航

本文涉及的产品
容器镜像服务 ACR,镜像仓库100个 不限时长
简介: 揭秘Docker EE 新版本特性 , RBAC为Kubernetes 护航。基于角色的访问控制,并且支持高度自定义的角色。

写在前面

上周Docker公司发布了Docker企业版的最新测试版。毫无疑问,此版本最重要的功能之一就是为Swarm 和Kubernetes 群集提供了统一的管理控制界面。在制作这个版本的时候,团队深知不能只在Kubernetes上加装一个GUI(图形用户界面)就发布出去。团队希望可以找到一种简化并保护在Kubernetes 节点上部署应用程序的方法。

其中一个方法就是基于角色的访问控制(RBAC)。Docker EE 17.06引入了增强的基于角色的访问控制(RBAC)解决方案,它可以为多个团队和用户提供灵活、细粒度的访问控制。虽然Kubernetes在1.6版本中首次引入了基于角色的访问控制(RBAC)解决方案,但在即将发布的新版本中,我们扩展了Docker EE现有RBAC支持,使其能更好的支持Kubernetes。

如果您还不熟悉RBAC 的工作原理,请参阅文章:

3分钟带您了解Docker EE的访问控制原理(内附实操案例)
分享丨3分钟了解Docker 企业版的三个实用新功能

创建高度自定义的角色

除了Docker EE中的五个自定义身份验证角色(view only、full control、none等) 之外,管理员还可以使用33种不同的操作类别来创建自定义角色。而且,这些类别都涵盖了多个不同的设置。对于管理员来说,这意味着他们可以为一些用户设置一组合理的默认角色,或者在需要的地方创建高度自定义的角色。

image

混合编排的RBAC示例

image

如上图所示,我们有三个人Katherine、Saavni 和Kahlil。Katherine 是我们的容器管理员,她可以访问群集上所有的Kubernetes 命名空间和swarm 资源。Kahlil 则是我们的初级管理员,他不需要管理运行的Kubernetes资源,但是他需要对生产系统上运行的基于Kubernetes的应用程序有一定程度的了解。Saavni也是如此,只是她专注于基于Swarm的应用程序。

对于Khalil来说,Katherine设置了一个只允许用户列出Pods的自定义角色。然后,她创建了一个授予Kahlil这个角色的权限,但它仅限于“prod-web”的命名空间。

接下来,Katherine创建了一个自定义角色,她允许用户列出swarm服务,并将该角色权限授予Saavni作为“prod_db”集合。

正如您所希望的那样,Khalil仅限于他所属的命名空间(prod-web),他所能做的就是看看哪个Pods正在运行。他既不能修改那些正在运行的Pods,也不能创建新的Pods。当然,他也看不到任何可能在其他命名空间中运行的Pods。无论Khalil是通过Docker EE的通用控制界面还是通过命令行使用Docker EE客户端软件包来访问Kubernetes集群,这些限制都会生效。

而对于Saavni 来说,同样的限制也应用于在我们的prod-db集合中运行的Swarm服务。此外,值得注意的一点是,Saavni无法使用任何Kubernetes资源,而Khalil也无法使用任何Swarm资源。

这是一个简单、形象的例子,它可以让您很好地了解在Docker EE中RBAC所提供的灵活性,包括使用统一的管理模式为Kubernetes 和 Swarm 提供RBAC 支持,并且控制这些工作是否可以通过GUI或CLI来管理应用程序。

Kubernetes资源认证

那么,如何在Kubernetes资源的覆盖下工作呢?Docker EE利用Kubernetes webhook认证模型,它可以验证外部来源的所有请求。在Docker EE中,我们使用控制界面中的RBAC 控制器——eNZi。每个Kubernetes请求,无论是通过CLI还是GUI发布,都会根据Docker EE的authN / authZ数据库进行验证,然后根据您的需要来选择接受或拒绝。

Kubernetes 和Docker EE 访问控制的整合只是即将发布的新功能之一。我们还做了很多工作,将Kubernetes与Docker Trusted Registry(以及添加DTR镜像中转)整合在一起,还对HTTP路由功能进行了重大改进。我将在未来几周内发布相关文章,敬请关注。

测试版下载地址:https://beta.docker.com/

备注:文章转自Docker公司官方官方公众号,原文作者为 Mike Coleman Docker公司

相关实践学习
深入解析Docker容器化技术
Docker是一个开源的应用容器引擎,让开发者可以打包他们的应用以及依赖包到一个可移植的容器中,然后发布到任何流行的Linux机器上,也可以实现虚拟化,容器是完全使用沙箱机制,相互之间不会有任何接口。Docker是世界领先的软件容器平台。开发人员利用Docker可以消除协作编码时“在我的机器上可正常工作”的问题。运维人员利用Docker可以在隔离容器中并行运行和管理应用,获得更好的计算密度。企业利用Docker可以构建敏捷的软件交付管道,以更快的速度、更高的安全性和可靠的信誉为Linux和Windows Server应用发布新功能。 在本套课程中,我们将全面的讲解Docker技术栈,从环境安装到容器、镜像操作以及生产环境如何部署开发的微服务应用。本课程由黑马程序员提供。     相关的阿里云产品:容器服务 ACK 容器服务 Kubernetes 版(简称 ACK)提供高性能可伸缩的容器应用管理能力,支持企业级容器化应用的全生命周期管理。整合阿里云虚拟化、存储、网络和安全能力,打造云端最佳容器化应用运行环境。 了解产品详情: https://www.aliyun.com/product/kubernetes
目录
相关文章
|
2月前
|
Kubernetes Docker Python
Docker 与 Kubernetes 容器化部署核心技术及企业级应用实践全方案解析
本文详解Docker与Kubernetes容器化技术,涵盖概念原理、环境搭建、镜像构建、应用部署及监控扩展,助你掌握企业级容器化方案,提升应用开发与运维效率。
473 108
|
19天前
|
弹性计算 关系型数据库 微服务
基于 Docker 与 Kubernetes(K3s)的微服务:阿里云生产环境扩容实践
在微服务架构中,如何实现“稳定扩容”与“成本可控”是企业面临的核心挑战。本文结合 Python FastAPI 微服务实战,详解如何基于阿里云基础设施,利用 Docker 封装服务、K3s 实现容器编排,构建生产级微服务架构。内容涵盖容器构建、集群部署、自动扩缩容、可观测性等关键环节,适配阿里云资源特性与服务生态,助力企业打造低成本、高可靠、易扩展的微服务解决方案。
1335 8
|
4月前
|
存储 Kubernetes 监控
Docker与Kubernetes集成挑战及方案
面对这些挑战,并不存在一键解决方案。如同搭建灌溉系统需要考虑多种因素,集成Docker与Kubernetes也需要深思熟虑的规划、相当的技术知识和不断的调试。只有这样,才能建立起一个稳定、健康、高效的Docker-Kubernetes生态,让你的应用像花园中的植物一样繁荣生长。
207 63
|
6月前
|
存储 Kubernetes 调度
Kubernetes、Docker和Containerd的关系解析
总的来说,Docker、Containerd和Kubernetes之间的关系可以用一个形象的比喻来描述:Docker就像是一辆装满货物的卡车,Containerd就像是卡车的引擎,而Kubernetes就像是调度中心,负责指挥卡车何时何地送货。
275 12
|
7月前
|
Kubernetes Docker 容器
Kubernetes与Docker参数对照:理解Pod中的command、args与Dockerfile中的CMD、ENTRYPOINT。
需要明确的是,理解这些都需要对Docker和Kubernetes有一定深度的理解,才能把握二者的区别和联系。虽然它们都是容器技术的二个重要组成部分,但各有其特性和适用场景,理解它们的本质和工作方式,才能更好的使用这些工具,将各自的优点整合到生产环境中,实现软件的快速开发和部署。
221 25
|
10月前
|
存储 Kubernetes 开发者
容器化时代的领航者:Docker 和 Kubernetes 云原生时代的黄金搭档
Docker 是一种开源的应用容器引擎,允许开发者将应用程序及其依赖打包成可移植的镜像,并在任何支持 Docker 的平台上运行。其核心概念包括镜像、容器和仓库。镜像是只读的文件系统,容器是镜像的运行实例,仓库用于存储和分发镜像。Kubernetes(k8s)则是容器集群管理系统,提供自动化部署、扩展和维护等功能,支持服务发现、负载均衡、自动伸缩等特性。两者结合使用,可以实现高效的容器化应用管理和运维。Docker 主要用于单主机上的容器管理,而 Kubernetes 则专注于跨多主机的容器编排与调度。尽管 k8s 逐渐减少了对 Docker 作为容器运行时的支持,但 Doc
385 5
容器化时代的领航者:Docker 和 Kubernetes 云原生时代的黄金搭档
|
9月前
|
Kubernetes Linux 虚拟化
入门级容器技术解析:Docker和K8s的区别与关系
本文介绍了容器技术的发展历程及其重要组成部分Docker和Kubernetes。从传统物理机到虚拟机,再到容器化,每一步都旨在更高效地利用服务器资源并简化应用部署。容器技术通过隔离环境、减少依赖冲突和提高可移植性,解决了传统部署方式中的诸多问题。Docker作为容器化平台,专注于创建和管理容器;而Kubernetes则是一个强大的容器编排系统,用于自动化部署、扩展和管理容器化应用。两者相辅相成,共同推动了现代云原生应用的快速发展。
2354 11
|
10月前
|
存储 Kubernetes Docker
Kubernetes(k8s)和Docker Compose本质区别
理解它们的区别和各自的优势,有助于选择合适的工具来满足特定的项目需求。
1036 19
|
5月前
|
资源调度 Kubernetes 调度
从单集群到多集群的快速无损转型:ACK One 多集群应用分发
ACK One 的多集群应用分发,可以最小成本地结合您已有的单集群 CD 系统,无需对原先应用资源 YAML 进行修改,即可快速构建成多集群的 CD 系统,并同时获得强大的多集群资源调度和分发的能力。
183 9

相关产品

  • 容器服务Kubernetes版