使用 kubeconfig 文件组织集群访问

使用 kubeconfig 文件来组织有关集群、用户、命名空间和身份验证机制的信息。 kubectl 命令行工具使用 kubeconfig 文件来查找选择集群和与集群的 API 服务器通信所需的信息。

默认情况下，kubectl 在 $HOME/.kube 目录中查找名为 config 的文件。您可以通过设置 KUBECONFIG 环境变量或设置 --kubeconfig 标志来指定其他 kubeconfig 文件。

有关创建和指定 kubeconfig 文件的分步说明，请参阅配置对多个集群的访问权限。

支持多个集群、用户和身份验证机制

假设您有多个集群，并且您的用户和组件以各种方式进行身份验证。例如

• 运行中的 kubelet 可以使用证书进行身份验证。
• 用户可以使用令牌进行身份验证。
• 管理员可能有一组证书，他们会将这些证书提供给各个用户。

使用 kubeconfig 文件，您可以组织您的集群、用户和命名空间。您还可以定义上下文，以便在集群和命名空间之间快速轻松地切换。

上下文

kubeconfig 文件中的 *上下文* 元素用于将访问参数分组在一个方便的名称下。每个上下文都有三个参数：集群、命名空间和用户。默认情况下，kubectl 命令行工具使用 *当前上下文* 中的参数与集群通信。

要选择当前上下文

kubectl config use-context

KUBECONFIG 环境变量

KUBECONFIG 环境变量包含 kubeconfig 文件列表。对于 Linux 和 Mac，该列表以冒号分隔。对于 Windows，该列表以分号分隔。不需要 KUBECONFIG 环境变量。如果 KUBECONFIG 环境变量不存在，则 kubectl 使用默认的 kubeconfig 文件 $HOME/.kube/config。

如果 KUBECONFIG 环境变量确实存在，则 kubectl 使用的有效配置是合并 KUBECONFIG 环境变量中列出的文件的结果。

合并 kubeconfig 文件

要查看您的配置，请输入以下命令

kubectl config view

如前所述，输出可能来自单个 kubeconfig 文件，也可能是合并多个 kubeconfig 文件的结果。

以下是 kubectl 在合并 kubeconfig 文件时使用的规则

1. 如果设置了 --kubeconfig 标志，则仅使用指定的文件。不要合并。此标志只允许使用一次。

   否则，如果设置了 KUBECONFIG 环境变量，则将其用作应合并的文件列表。根据以下规则合并 KUBECONFIG 环境变量中列出的文件

   • 忽略空文件名。
   • 对于内容无法反序列化的文件，生成错误。
   • 第一个设置特定值或映射键的文件优先。
   • 永远不要更改值或映射键。示例：保留第一个设置 current-context 的文件的上下文。示例：如果两个文件都指定了 red-user，则仅使用第一个文件 red-user 下的值。即使第二个文件在 red-user 下有非冲突条目，也要将其丢弃。

   有关设置 KUBECONFIG 环境变量的示例，请参阅设置 KUBECONFIG 环境变量。

   否则，使用默认的 kubeconfig 文件 $HOME/.kube/config，不进行合并。

2. 根据此链中的第一个匹配项确定要使用的上下文

   1. 如果存在 --context 命令行标志，则使用它。
   2. 使用合并后的 kubeconfig 文件中的 current-context。

   此时允许使用空上下文。

3. 确定集群和用户。此时，可能存在也可能不存在上下文。根据此链中的第一个匹配项确定集群和用户，该链运行两次：一次用于用户，一次用于集群

   1. 如果存在命令行标志，则使用它：--user 或 --cluster。
   2. 如果上下文非空，则从上下文中获取用户或集群。

   此时，用户和集群可以为空。

4. 确定要使用的实际集群信息。此时，可能存在也可能不存在集群信息。根据此链构建集群信息的每个部分；第一个匹配项优先

   1. 如果存在命令行标志，则使用它们：--server、--certificate-authority、--insecure-skip-tls-verify。
   2. 如果合并后的 kubeconfig 文件中存在任何集群信息属性，则使用它们。
   3. 如果没有服务器位置，则失败。

5. 确定要使用的实际用户信息。使用与集群信息相同的规则构建用户信息，但每个用户只允许使用一种身份验证技术

   1. 如果存在命令行标志，则使用它们：--client-certificate、--client-key、--username、--password、--token。
   2. 使用合并后的 kubeconfig 文件中的 user 字段。
   3. 如果存在两种冲突的技术，则失败。

6. 对于任何仍然缺少的信息，使用默认值并可能提示输入身份验证信息。

文件引用

kubeconfig 文件中的文件和路径引用是相对于 kubeconfig 文件的位置的。命令行上的文件引用是相对于当前工作目录的。在 $HOME/.kube/config 中，相对路径以相对方式存储，绝对路径以绝对方式存储。

代理

您可以使用 kubeconfig 文件中的 proxy-url 将 kubectl 配置为对每个集群使用代理，如下所示

apiVersion: v1
kind: Config

clusters:
- cluster:
    proxy-url: http://proxy.example.org:3128
    server: https://k8s.example.org/k8s/clusters/c-xxyyzz
  name: development

users:
- name: developer

contexts:
- context:
  name: development

下一步

• 配置对多个集群的访问
• kubectl config