はじめに

Kubernetesクラスタにユーザーを追加する手順は、Linuxで言うところのuseradd hogeのように簡単ではない。
そこで、kindで作成したKubernetesクラスタにユーザーを追加しながら、その手順についてまとめる。

Component	Version
PC	M1 MacBook Pro
OS	macOS 15.1.1
Docker Desktop	4.36.0
kind	v0.25.0
Kubernetes	v1.31.2
openssl	3.4.0

手順

Kubernetesクラスタにユーザーを追加する手順は以下。

秘密鍵を作成する
Certificate Signing Request (CSR)を作成する
Certificate Signing Request (CSR)を認証する
証明書を取得する
追加するユーザーにClusterRoleをbindする
kubectlの設定
動作確認

kindでKubernetesクラスタを作成する

まずは動作確認に必要なKubernetesクラスタをkindで作成する。

設定ファイル

kind-sandbox.yaml

kind: Cluster
apiVersion: kind.x-k8s.io/v1alpha4
name: sandbox
nodes:
- role: control-plane
- role: worker

Kubernetesクラスタを作成

kind create cluster --config kind-sandbox.yaml

秘密鍵を作成する

ユーザーが使用する秘密鍵を生成する。

openssl genrsa -out user.key 2048

Certificate Signing Request (CSR)を作成する

秘密鍵を元にCertificate Signing Request (CSR)を作成する。

openssl req -new -key user.key -subj "/CN=user" -out user.csr

Certificate Signing Request (CSR)を認証する

CSRを認証するためにmanifestを作成して、kubectl certificate approveで認証する。

cat <<EOF > user.yaml
apiVersion: certificates.k8s.io/v1
kind: CertificateSigningRequest
metadata:
  name: user
spec:
  request: $(cat user.csr | base64 -w 0 | tr -d '\n')
  signerName: "kubernetes.io/kube-apiserver-client"
  usages:
  - digital signature
  - key encipherment
  - client auth
EOF
kubectl apply -f user.yaml
kubectl certificate approve user

証明書を取得する

認証に成功したら、下記のコマンドで証明書を取得する。

kubectl get csr user -o jsonpath='{.status.certificate}' | base64 -d > user.crt

追加するユーザーにClusterRoleをbindする

追加するユーザーuserにcluster-adminというClusterRoleをbindする。

kubectl create clusterrolebinding user-cluster-admin --clusterrole=cluster-admin --user=user --dry-run=client -o yaml > crb.yaml
kubectl apply -f crb.yaml

kubectlの設定

kubectlに追加したユーザーで操作するためのcontextを追加する。
clusterはkindが作成したkind-sandboxを流用する。

kubectl config set-credentials user --client-certificate=user.crt --client-key=user.key --embed-certs=t
rue
kubectl config set-context kind-sandbox-user --cluster=kind-sandbox --user=user
kubectl config use-context kind-sandbox-user

動作確認

kubectlを実行して成功すれば、ユーザー追加が完了。

kubectl get all -A

最後に

kindで作成したKubernetesクラスタにuserというユーザーを追加する手順をまとめた。
この手順を実施することでCSRについての理解が深まった。

参考情報