我正在尝试保护我的k8s集群,并查看k8s的客户端身份验证授权支持。我的要求是我想能够向k8s apiserver唯一地识别自己(例如,客户端),但是到目前为止我所读的关于客户端身份验证的所有内容都不是解决方案。
我的理解是,服务器将仅确保所提供的客户端证书实际上由证书颁发机构签名。如果黑客获得了另一个由同一证书颁发机构签名的证书(在我们组织中不难做到),并使用该证书与我的服务器进行通信怎么办?似乎像Swarm和k8s这样的流行编排工具支持此选项并将其标榜为最安全的选项,因此必须有一些原因来支持这样做。是否有人能够解释一下?
我的理解是,服务器将仅确保所提供的客户端证书实际上由证书颁发机构签名。如果黑客获得了另一个由同一证书颁发机构签名的证书(在我们组织中不难做到),并使用该证书与我的服务器进行通信怎么办?似乎像Swarm和k8s这样的流行编排工具支持此选项并将其标榜为最安全的选项,因此必须有一些原因来支持这样做。是否有人能够解释一下?