如何使用 k8s REST 或 fabric8 API 对谷歌容器引擎 kubernetes API 服务器进行身份验证？答案

【问题标题】：how to authenticate to google container engine kubernetes API server using either k8s REST or fabric8 API?如何使用 k8s REST 或 fabric8 API 对谷歌容器引擎 kubernetes API 服务器进行身份验证？
【发布时间】：2016-04-07 19:33:18
【问题描述】：

我正在尝试编写一个在 Kubernetes 集群中生成基于容器的应用程序的服务。我想做一些测试 Google Container Engine 作为基准；但是，我无法弄清楚了解如何让我的 REST 客户端通过 k8s API 服务器（主服务器）进行身份验证。

我在这里发现了一个很好的提示：http://www.scriptscoop.net/t/9c6a16719a43/google-container-engine-rest-api-authorization.html

作者说“我知道 OAuth [针对 Google Container Engine] 有效”，他们听起来很博学。所以，我正在考虑尝试 oauth（我猜是 oauth2。）但是，与通过以下任一方式适应一些适用于 Google Container Engine 的工作代码相比，反复试验将花费我更长的时间。 k8s REST 或 fabric8 API。

如果有人可以给我一个指向此类代码的指针，甚至可以讨论此类代码，我将不胜感激！谢谢/克里斯

【问题讨论】：

您是否尝试在现有容器集群中生成容器集群（使用 Google Container Engine REST API）或应用程序（使用 Kubernetes REST API）？
- 答案是：后者。我手动创建了容器集群。我的测试代码试图通过fabric8 rest API生成nginx（并在其周围包装负载平衡服务）。这是k8s REST api之上的一个便利层。代码在这里 -> github.com/buildlackey/fabric8-k8s-fiddling 谢谢！

标签： oauth-2.0 kubernetes google-kubernetes-engine

【解决方案1】：

Kubernetes apiserver（还）不能与 OAuth 一起使用，因此在发出 API 请求时，您需要使用一种受支持的身份验证机制（http 基本身份验证、承载令牌身份验证或客户端证书）。

每个 pod 都有一个自动应用的服务帐户，允许它使用不记名令牌访问 apiserver。见How do I access the Kubernetes api from within a pod container?。

使用来自服务帐户的凭据，您可以部署一个应用程序，该应用程序将在系统中创建新对象（pod、复制控制器等）以生成基于容器的应用程序。

【讨论】：