0

例如，在 kubernetes vm 上运行：kubectl get endpoints 如何在 pod 内获得相同的输出，我应该在 pod 内运行什么？我知道有一个 kubeapi，但我是 kubernetes 的新手，有人可以解释我如何使用它

这是我的集群角色绑定：

---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: RoleBinding
metadata:
  name: {{ template "elasticsearch.fullname" . }}
  labels:
    app: {{ template "elasticsearch.name" . }}
    chart: "{{ .Chart.Name }}-{{ .Chart.Version }}"
    release: "{{ .Release.Name }}"
    heritage: "{{ .Release.Service }}"
subjects:
- kind: ServiceAccount
  name: {{ template "elasticsearch.serviceAccountName.client" . }}
  namespace: {{ .Release.Namespace }}
roleRef:
  kind: ClusterRole
  name: {{ template "elasticsearch.fullname" . }}
  apiGroup: rbac.authorization.k8s.io

clusterrole.yaml：

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name:  {{ template "elasticsearch.fullname" . }}
  labels:
    app: {{ template "elasticsearch.name" . }}
    chart: "{{ .Chart.Name }}-{{ .Chart.Version }}"
    release: "{{ .Release.Name }}"
    heritage: "{{ .Release.Service }}"
rules:
#
# Give here only the privileges you need
#
- apiGroups: [""]
  resources:
  - pods
  - endpoints
  verbs:
  - get
  - watch
  - list

服务帐户：

---
apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    app: {{ template "elasticsearch.name" . }}
    chart: {{ .Chart.Name }}-{{ .Chart.Version }}
    component: "{{ .Values.client.name }}"
    heritage: {{ .Release.Service }}
    release: {{ .Release.Name }}
  name: {{ template "elasticsearch.client.fullname" . }}
4

1 回答 1

1

您无需 kubectl 安装在 pod 中即可访问 Kubernetes API。您将能够使用任何可以发出 HTTP 请求的工具来执行此操作。

Kubernetes API 是一个简单的 HTTP REST API，如果容器作为集群中的 Pod 运行，您需要的所有身份验证信息都存在于容器中。

要从 集群中的容器中获取 命名 的 Endpoints 对象your-service ，您可以执行以下操作：

$ curl -k -H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" \
  https://kubernetes.default.svc:443/api/v1/namespaces/{namespace}/endpoints/your-service

替换 {namespace} 为 your-service Endpoints 资源的命名空间。_

要将返回的 JSON 管道的 IP 地址提取到以下工具的输出 jq：

... | jq -r '.subsets[].addresses[].ip'

重要提示： 执行此操作的 Pod 需要 Endpoints 资源的读取权限，否则 API 请求将被拒绝。

您可以通过创建 ClusterRole、ClusterRoleBinding 和服务帐户来做到这一点 - 设置一次：

$ kubectl create sa endpoint-reader-sa
$ kubectl create clusterrole endpoint-reader-cr --verb=get,list --resource=endpoints
$ kubectl create clusterrolebinding endpoint-reader-crb --serviceaccount=default:endpoint-reader-sa --clusterrole=endpoint-reader-cr

接下来使用创建的 ServiceAccount - 通过在 字段中指定endpoint-reader-sa 要从中执行上述 curl 命令 的 Pod。pod.spec.serviceAccountName

为任何不同的 API 操作授予权限以相同的方式工作。

来源：get-pod-ip。

@ITChap 也提到了类似的答案：kubectl-from-inside-the-pod。

于 2021-02-10T09:40:21.377 回答