本文目录导航：
什么是K8S？
k8s是什么?
Kubernetes 是一个可移植的，可裁减的开源容器编排平台，用于治理容器化的上班负载和服务，繁难了申明式性能和智能化。
它领有一个宏大且极速增长的生态系统。
Kubernetes 的服务，支持和工具宽泛可用。
为什么如今盛行经常使用容器?
早期: 在物理主机下面部署运行程序存在资源调配疑问,由于其不能在物理主机中的运行程序定义资源边界,造成运行程序资源应用无余而不可裁减.
起初: 为了处置该疑问,引入了虚构化技术, 虚构化技术是指准许你在单个物理主机的 CPU 上运转多个虚构机,可以让多个运行程序在虚构机之间启动隔离,具备必定的安保性, 每一个虚构机就是一台完整的计算机, 在虚构化配件之上运转一切组件.
如今: 少数在物理主机下面部署运行程序都是采kubectl用容器的方式,容器相似于虚构机,它们都具备自己的文件系统、CPU、内存、进程空间等, 且由于它们与基础架构分别，因此可以跨云和 OS 发行版本启动移植。基于此特点被企业大范围经常使用.
为什么须要经常使用k8s容器?
若出现这样一个环境: 在消费环境中假设一个容器出现缺点,则咱们须要手动去启动另外一个容器,这样的操作是对咱们的治理员来说是不太繁难的, 若一个容器出现缺点,另一个容器可以智能启动容器接收缺点的容器,这样是最好的.
k8s就可以成功该成果,Kubernetes 提供了一个可弹性运转散布式系统的框架。
Kubernetes 会满足你的裁减要求、缺点转移、部署形式等。
k8s性能: 服务发现和负载平衡, 存储编排, 智能部署和回滚, 智能成功装箱计算, 自我修复, 密钥与性能治理
名词解释
Secret有三种类型：
k8s的组成
k8s是由组件,API,对象等组成.
蕴含一切互关系联组件的 Kubernetes 集群图如下:
组件
Kubernetes 控制面 的外围是 API 主机。
API 主机担任提供 HTTP API，以供用户、集群中的不同局部和集群外部组件相互通讯。
对象
Kubernetes对象是Kubernetes系统中的耐久实体。Kubernetes经常使用这些实体来示意集群的形态.
详细来说，他们可以形容：
Kubernetes 架构
Kubernetes 架构由节点,控制面到节点通讯, 控制器, 云控制器治理器组成.
master 流程图
节点
节点可以是一个虚构机或许物理机器，取决于所在的集群性能。 每个节点蕴含运转 Pods 所需的服务， 这些 Pods 由 控制面 担任治理.
节点上的组件包括 kubelet、 容器运转时以及 kube-proxy。
节点形态
可以经常使用 kubectl 来检查节点形态和其余细节信息：
kubectl describe node <�节点称号>
一个节点蕴含以下信息:
控制面到节点通讯
控制器
在 Kubernetes 中，控制器经过监控集群 的公共形态，并努力于将以后形态转变为希冀的形态。
举个例子: 以后室内温度为20度, 咱们经过调理遥控器,使其温度回升至24度, 这20度到24度的变动即为让其从以后形态凑近希冀形态。
控制器形式分为直接控制和经过API主机来控制.
云控制器治理器
云控制器治理器是指嵌入特定云的控制逻辑的 控制平面组件。
云控制器治理器准许您链接聚合到云提供商的运行编程接口中， 并分别出相互作用的组件与您的集群交互的组件。
云控制器治理器中的控制器包括：
Kubernetes 安保性
云原生安保
云原生安保4个C: 云(Cloud)、集群(Cluster)、容器(Container)和代码(Code)
云原生安保模型的每一层都是基于下一个最外层，代码层受益于弱小的基础安保层（云、集群、容器）。
咱们不可经过在代码层处置安保疑问来为基础层中蹩脚的安保规范提供包全。
基础设备安保
Kubetnetes 基础架构关注畛域
倡导
经过网络访问 API 服务（控制平面)
一切对 Kubernetes 控制平面的访问不准许在 Internet 上地下，同时应由网络访问控制列表控制，该列表蕴含治理集群所需的 IP 地址集。
经过网络访问 Node（节点)
节点应性能为 仅能 从控制平面上经过指定端口来接受（经过网络访问控制列表）衔接，以及接受 NodePort 和 LoadBalancer 类型的 Kubernetes 服务衔接。
假设或许的话，这些节点不应齐全暴露在公共互联网上。
Kubernetes 云访问提供商的 API
每个云提供商都须要向 Kubernetes 控制平面和节点授予不同的权限集。
为集群提供云提供商访问权限时，最好遵照对须要治理的资源的最小特权准则。
Kops 文档提供无关 IAM 战略和角色的信息。
访问 etcd
对 etcd（Kubernetes 的数据存储）的访问应仅限于控制平面。
依据性能状况，你应该尝试经过 TLS 来经常使用 etcd。
更多信息可以在 etcd 文档中找到。
etcd 加密
在一切或许的状况下，最好对一切驱动器启动态态数据加密，然而由于 etcd 领有整个集群的形态（包括秘密信息），因此其磁盘更应该启动态态数据加密。
集群组件安保
容器安保
代码安保
Kubernetes架构经常出现疑问
Kubernetes ATTACK 矩阵
信息暴露
云账号AK暴露
API凭证（即阿里云AccessKey）是用户访问外部资源最关键的身份凭证。用户调用API时的通讯加密和身份认证会经常使用API凭证.
API凭证是云上用户调用云服务API、访问云上资源的惟一身份凭证。
API凭证相当于登录明码，用于程序方式调用云服务API.
k8s configfile暴露
kubeconfig文件所在的位置:
$HOME//config
Kubeconfig文件蕴含无关Kubernetes集群的详细信息，包括它们的位置和凭据。
云厂商会给用户提供该文件,以便于用户可以经过kubectl对集群启动治理. 假设攻打者能够访问到此文件（如办公网员工机器入侵、暴露到Github的代码等），就可以直接经过API Server接收K8s集群，带来风险隐患。
Master节点SSH登录暴露
经常出现的容器集群治理方式是经过登录Master节点或运维跳板机，而后再经过kubectl命令工具来控制k8s。
云主机提供了经过ssh登陆的方式启动登陆master节点.
若Master节点SSH衔接地址暴露,攻打者可对ssh登陆启动爆破,从而登陆上ssh,控制集群.
容器组件未鉴权服务
Kubernetes架构下经常出现的开明服务指纹如下:
注:前六个重点关注: 一旦被控制可以直接失掉相应容器、相应节点、集群权限的服务
了解各个组件被攻打时所形成的影响
组件分工图:
假设用户想在集群外面新建一个容器汇合单元, 流程如下:
攻打apiserver
apiserver引见:在Kubernetes中,关于未鉴权对apiserver, 能访问到 apiserver 普通状况下就能失掉了集群的权限.
在攻打者眼中Kubernetes APIServer
自动状况下apiserver都有鉴权:
未鉴权性能如下:
关于这类的未鉴权的设置来说，访问到 apiserver 普通状况下就失掉了集群的权限：
如何经过apiserver来启动浸透,可参考:攻打kubelet
每一个Node节点都有一个kubelet(每个节点上运转的代理)服务，kubelet监听了，，等端口。
端口,是kubelet与apiserver启动通讯对关键端口, 经过该端口,kubelet可以知道以后应该处置的义务.该端口在最新版Kubernetes是有鉴权的, 但在开启了接受匿名恳求的状况下，不带鉴权信息的恳求也可以经常使用提供的才干, 在Kubernetes早期,很多挖矿木马基于该端口启动流传.
在性能文件中,若启动如下性能,则或许存在未授权访问破绽.
/var/bin/kubulet/config/yaml
若端口存在未授权访问破绽,咱们可以直接访问/pods启动检查
依据在pods中失掉的信息,咱们可以在容器中口头命令
curl -Gks{namespace}/{podname}/{containername} \-d input=1 -d output=1 -d tty=1 \-d command=whoami
上述命令失掉websocket地址，衔接websocket失掉命令结果：
经常使用wscat工具衔接websocket
wscat -c “{websocket}” --no-check
即可失掉咱们口头命令的结果.
失掉token
/var/run/secrets//serviceaccount
而后即可访问kube-api server,失掉集群权限
curl -ks -H Authorization: Bearer \ ttps://master:6443/api/v1/namespaces/{namespace}/secrets
攻打kubelet总体步骤如下:
攻打dashboard
dashboard登陆链接如下:
界面如下:
dashboard是Kubernetes官网推出的控制Kubernetes的图形化界面.在Kubernetes性能不当造成dashboard未授权访问破绽的状况下，经过dashboard咱们可以控制整个集群。
自动状况下, dashboard是须要启动鉴权操作的,当用户开启了enable-skip-login时可以在登录界面点击Skip跳过登录进入dashboard.
经过skip登陆的dashboard自动是没有操作集群的权限,由于Kubernetes经常使用RBAC(Role-based access control)机制启出发份认证和权限治理，不同的serviceaccount领有不同的集群权限。
但有些开发者为了繁难或许在测试环境中会为Kubernetes-dashboard绑定cluster-admin这个ClusterRole（cluster-admin领有治理集群的最高权限）.
为Kubernetes-dashboard绑定cluster-admin 设置如下:
后经过skip登陆dashboard便有了治理集群的权限.
创立Pod控制node节点,该pod关键是将宿主机根目录挂载到容器tmp目录下。
新建一个Pod如下:
经过该容器的tmp目录治理node节点的文件
攻打etcd
Kubernetes自动经常使用了etcd v3来存储数据, 若能naetcd对内暴露2379端口，本地127.0.0.1可免认证访问. 其余地址要带—endpoint参数和cert启动认证。
未授权访问流程:
攻打docker remote api(Docker daemon公网暴露)
2375是docker远程操控的自动端口，经过这个端口可以直接对远程的docker 守护进程启动操作。Docker 守护进程自动监听2375端口且未鉴权.
当机器以方式启动daemon时，可以在外部机器对该机器的docker daemon启动直接操作：
docker daemon -H=0.0.0.0:2375
之后依次口头systemctl daemon-reload、systemctl restart docker
外部主机经常使用 即可操作暴露2375端口的主机.
因此当你有访问到指标Docker API 的网络才干或主机才干的时刻，你就领有了控制以后主机的才干。咱们可以应用Docker API在远程主机上创立一个特权容器，并且挂载主机根目录到容器.
检测指标能否存在docker api未授权访问破绽的方式也很繁难，访问门路能否含有ContainersRunning、DockerRootDir等关键字。
攻打kubectl proxy
二次开发所发生的疑问
治理Kubernetes无论是经常使用 kubectl 或 Kubernetes dashboard 的UI性能，其实都是直接在和 APIServer 做交互.
假设有需求对k8s启动二次开发的话,大局部的开发性能恳求了 APIServer 的 Rest API 从而使性能成功的。
例如:
k8s官网介绍的部署工具
Kubernetes（k8s）官网介绍的部署工具是kubectl。
Kubernetes，简称K8s，是一个开源的，用于治理云平台中多个主机上的容器化的运行。
在Kubernetes生态系统中，kubectl是一个十分关键的命令行工具，它准许用户经过命令行与Kubernetes集群启动交互。
kubectl的性能十分弱小，简直涵盖了Kubernetes治理的各个方面。
例如，用户可以经常使用kubectl来部署运行、检查和治理集群资源、对资源启动裁减或缩减、检查日志、启动缺点排查等。
kubectl经过读取存储在Kubernetes集群中的性能文件（理论是YAML或JSON格局）来了解如何创立、性能和治理各种资源。
例如，假定咱们有一个定义Pod（Kubernetes中的最小部署单元）的YAML文件，咱们可以经常使用kubectl create命令来创立Pod：bashkubectl create -f 此外，kubectl还提供了少量的子命令和选项，以满足用户在不同场景下的需求。
例如，kubectl get命令可以用于失掉集群中资源的形态信息，kubectl describe命令可以用于检查资源的详细信息，kubectl logs命令可以用于检查Pod中的容器日志等。
总的来说，kubectl是Kubernetes官网介绍的部署工具，它提供了丰盛的性能和灵敏的命令行接口，使得用户能够轻松地治理Kubernetes集群中的各种资源。
无论是启动运行的部署、裁减，还是启动缺点排查，kubectl都是一个十分弱小的工具。
kubernetes怎样发音
Kubernetes发音为：[kʌrɪniˈtiːz]。
这是一种联合了国内音标的注释方式，便于了解和发音。
Kubernetes是一个开源的容器编排平台，它可以智能化容器化运行程序的部署、裁减和治理。关于其发音，须要留意以下几点
1. 发音细节解析：在发音时，“Kubernetes”这个词可以分为三局部。
扫尾的“K”音同英文单词中的“Key”，紧跟着的是“uː”，这是一个长元音，发音时口型相似于“雨”的音。
最后的“ni”与英文单词中的“knight”发音相似，“tiːz”则是一个字母组合音。
因此全体发音较为繁难明了。
2. 语音连读习气：在英语中，音节间的过渡往往须要必定的连读技巧。
在“Kubernetes”中，“te”连读是经常出现的语音习气，须要留意在发音时稍微拉长和强调元音局部，以确保发音的准确性。
此外，发音时要坚持必定的语速和语调，不要过火拉长或过快发音，这样才干更准确地传达这个词的意义。
3. 文明背景与语境了解：只管发音是言语交换的基础，但了解词汇面前的文明背景和语境也是了解其意义的关键局部。
“Kubernetes”作为现代云计算畛域的关键术语，了解其在容器技术、云计算等方面的运行背景，有助于更片面地理解其发音和含意。
因此，在学习发音的同时，也应关注其关系的技术开展和运行畛域。
总的来说，正确把握“Kubernetes”的发音关于了解和运行这一技术术语至关关键。
经过了解发音细节、语音连读习气以及文明背景和语境，可以更好地把握这一关键词汇的发音和含意。
