kube-rbac-proxy 镜像文档

镜像概述

本镜像为 quay.io/brancz/kube-rbac-proxy 的镜像，是一个轻量级代理工具，用于在 Kubernetes 集群中为 HTTP 服务提供基于 RBAC（基于角色的访问控制）的认证与授权能力。其核心功能是作为中间层，拦截对上游 HTTP 服务的请求，通过 Kubernetes API Server 验证请求者的 RBAC 权限，仅允许授权用户/服务访问上游服务。

核心功能和特性

核心功能

• RBAC 认证与授权：基于 Kubernetes RBAC 策略验证请求者身份及权限，确保仅授权实体可访问上游服务。
• 请求代理：将经过认证的请求转发至指定的上游 HTTP 服务，并将上游响应返回给请求者。
• TLS 加密：支持通过 TLS 加密代理通信，保障数据传输安全。
• 灵活配置：支持通过命令行参数或配置文件自定义监听地址、上游服务地址、TLS 证书等关键参数。

主要特性

• 轻量级设计，资源占用低，适合容器化部署。
• 与 Kubernetes 原生 RBAC 体系深度集成，无需额外权限管理系统。
• 支持审计日志，记录请求认证过程及结果，便于问题排查。
• 兼容标准 HTTP 服务，无侵入式接入现有服务。

使用场景和适用范围

适用场景

• 监控组件访问控制：为 Prometheus Exporter、Metrics Server 等监控服务提供 RBAC 权限控制，确保仅授权的监控系统可采集指标。
• 自定义 API 服务：为集群内自定义 HTTP API 服务（如 Operator 扩展 API、业务微服务）提供统一的 RBAC 入口。
• 敏感服务保护：对包含敏感数据的 HTTP 服务（如配置中心、密钥管理服务）进行访问限制，防止未授权访问。

适用范围

• Kubernetes 集群环境中的容器化 HTTP 服务。
• 需要通过 Kubernetes RBAC 策略精细化控制访问权限的场景。
• 期望无侵入式集成权限控制的现有 HTTP 服务。

使用方法和配置说明

基本使用方式

Docker 运行示例

docker run -d \
  --name kube-rbac-proxy \
  -p 8080:8080 \
  -v /path/to/tls:/tls \
  quay.io/brancz/kube-rbac-proxy:latest \
  --upstream=[***] \  # 上游 HTTP 服务地址
  --listen-address=0.0.0.0:8080 \            # 代理监听地址和端口
  --tls-cert-file=/tls/tls.crt \             # TLS 证书文件路径
  --tls-key-file=/tls/tls.key \              # TLS 私钥文件路径
  --authorization-header=authorization \     # 携带认证信息的请求头
  --allowed-group=system:masters             # 允许访问的 RBAC 组（示例）

配置参数详解

命令行参数（核心参数）

环境变量

该镜像主要通过命令行参数配置，无强制依赖的环境变量。若需动态注入配置（如 TLS 证书路径），可通过环境变量传递参数值，例如：

docker run -e UPSTREAM=[***] quay.io/brancz/kube-rbac-proxy:latest --upstream=$UPSTREAM

Kubernetes 部署示例（容器化场景）

在 Kubernetes 中，通常以 Deployment 或 DaemonSet 形式部署，以下为 Deployment 配置示例：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: kube-rbac-proxy
spec:
  replicas: 1
  selector:
    matchLabels:
      app: kube-rbac-proxy
  template:
    metadata:
      labels:
        app: kube-rbac-proxy
    spec:
      containers:
      - name: kube-rbac-proxy
        image: quay.io/brancz/kube-rbac-proxy:latest
        args:
        - --upstream=[***]  # 上游服务（如 Prometheus Exporter）
        - --listen-address=0.0.0.0:8443
        - --tls-cert-file=/etc/tls/tls.crt
        - --tls-key-file=/etc/tls/tls.key
        - --allowed-group=monitoring:viewers
        ports:
        - containerPort: 8443
        volumeMounts:
        - name: tls-secret
          mountPath: /etc/tls
          readOnly: true
      volumes:
      - name: tls-secret
        secret:
          secretName: kube-rbac-proxy-tls  # 包含 TLS 证书的 Secret

注意事项

1. 依赖 Kubernetes 环境：该工具的核心功能依赖 Kubernetes API Server 进行 RBAC 权限验证，因此需在 Kubernetes 集群内运行，或确保容器可访问集群的 API Server。
2. TLS 配置：生产环境中必须启用 TLS 加密，避免明文传输认证令牌，可通过 Kubernetes Secret 挂载证书文件。
3. RBAC 策略配合：需提前在 Kubernetes 中配置对应的 Role/ClusterRole 及 RoleBinding/ClusterRoleBinding，确保代理服务的 allowed-group/allowed-user 与 RBAC 策略匹配。
4. 上游服务健康检查：建议为上游服务配置健康检查，避免代理转发至不可用的服务。