用于配置集群访问信息的文件叫做 kubeconfig 文件，在开启了 TLS 的集群中，每次与集群交互时都须要身份认证，生产环境通常使用证书进行认证，其认证所须要的信息会放在 kubeconfig 文件中。此外，k8s 的组件均可以使用 kubeconfig 链接 apiserver，client-go 、operator、helm 等其余组件也使用 kubeconfig 访问 apiserver。node
1、kubeconfig 配置文件的生成
kubeconfig 的一个示例：sql
1apiVersion: v1
2clusters:
3- cluster:
4 certificate-authority-data: xxx
5 server: https://xxx:6443
6 name: cluster1
7- cluster:
8 certificate-authority-data: xxx
9 server: https://xxx:6443
10 name: cluster2
11contexts:
12- context:
13 cluster: cluster1
14 user: kubelet
15 name: cluster1-context
16- context:
17 cluster: cluster2
18 user: kubelet
19 name: cluster2-context
20current-context: cluster1-context
21kind: Config
22preferences: {}
23users:
24- name: kubelet
25 user:
26 client-certificate-data: xxx
27 client-key-data: xxx
apiVersion 和 kind 标识客户端解析器的版本和模式，不该手动编辑。 preferences 指定可选（和当前未使用）的 kubectl 首选项。json
一、clusters模块
cluster中包含 kubernetes 集群的端点数据，包括 kubernetes apiserver 的完整 url 以及集群的证书颁发机构。api
可使用 kubectl config set-cluster 添加或修改 cluster 条目。浏览器
二、users 模块
user 定义用于向 kubernetes 集群进行身份验证的客户端凭据。ruby
可用凭证有 client-certificate、client-key、token 和 username/password。 username/password 和 token 是两者只能选择一个，但 client-certificate和 client-key 能够分别与它们组合。微信
可使用kubectl config set-credentials添加或者修改 user 条目。app
三、contexts 模块
context 定义了一个命名的cluster、user、namespace元组，用于使用提供的认证信息和命名空间将请求发送到指定的集群。工具
三个都是可选的，仅使用 cluster、user、namespace 之一指定上下文，或指定none。url
未指定的值或在加载的 kubeconfig 中没有相应条目的命名值将被替换为默认值。
加载和合并 kubeconfig 文件的规则很简单，但有不少，具体能够查看加载和合并kubeconfig规则。
可使用kubectl config set-context添加或修改上下文条目。
四、current-context 模块
current-context 是做为cluster、user、namespace元组的 key，
当 kubectl 从该文件中加载配置的时候会被默认使用。
能够在 kubectl 命令行里覆盖这些值，经过分别传入--context=CONTEXT、 --cluster=CLUSTER、--user=USER 和 --namespace=NAMESPACE。
以上示例中若不指定 context 则默认使用 cluster1-context。
1kubectl get node --kubeconfig=./kubeconfig --context=cluster2-context
可使用 kubectl config use-context 更改 current-context。
五、kubectl 生成 kubeconfig 的示例
kubectl 能够快速生成 kubeconfig，如下是一个示例：
1$ kubectl config set-credentials myself --username=admin --password=secret
2$ kubectl config set-cluster local-server --server=http://localhost:8080
3$ kubectl config set-context default-context --cluster=local-server --user=myself
4$ kubectl config use-context cluster-context
5$ kubectl config set contexts.default-context.namespace the-right-prefix
6$ kubectl config view
若使用手写 kubeconfig 的方式，推荐一个工具 kubeval，能够校验 kubernetes yaml 或 json 格式的配置文件是否正确。
2、使用 kubeconfig 文件配置 kuebctl 跨集群认证
kubectl 做为操做 k8s 的一个客户端工具，只要为 kubectl 提供链接 apiserver 的配置(kubeconfig)，kubectl 能够在任何地方操做该集群，固然，若 kubeconfig 文件中配置多个集群，kubectl 也能够轻松地在多个集群之间切换。
kubectl 加载配置文件的顺序：
一、kubectl 默认链接本机的 8080 端口
二、从 $HOME/.kube 目录下查找文件名为 config 的文件
三、经过设置环境变量 KUBECONFIG 或者经过设置去指定其它 kubeconfig 文件
1# 设置 KUBECONFIG 的环境变量
2export KUBECONFIG=/etc/kubernetes/kubeconfig/kubelet.kubeconfig
3# 指定 kubeconfig 文件
4kubectl get node --kubeconfig=/etc/kubernetes/kubeconfig/kubelet.kubeconfig
5# 使用不一样的 context 在多个集群之间切换
6kubectl get node --kubeconfig=./kubeconfig --context=cluster1-context
开篇的示例就是多集群认证方式配置的一种。
参考：
https://kubernetes.io/docs/concepts/configuration/organize-cluster-access-kubeconfig/
https://kubernetes.io/docs/tasks/access-application-cluster/configure-access-multiple-clusters/
本文分享自微信公众号 - 田飞雨（kubeConChina）。
若有侵权，请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一块儿分享。