概述
在 Kubernetes（简称 K8s）集群中，当需要让服务通过域名进行互相通信时，通常会使用 Kubernetes DNS 服务。然而，早期版本的 K8s 存在一个叫做 enableServiceLink 的选项，默认情况下为开启状态。该选项可以在集群内部的各个服务中通过集群内部IP连接到其他服务，而无需通过 DNS 解析。
尽管 enableServiceLink 可以方便我们在集群内通信，但它也会引入一些安全隐患。在某些情况下，我们可能希望关闭该选项，以加强集群的安全性。本文将介绍如何关闭 enableServiceLink。
关闭 enableServiceLink
要关闭 enableServiceLink，我们需要修改 kube-apiserver 的配置文件，并重新启动 kube-apiserver。
步骤 1：编辑 kube-apiserver 配置文件
首先，我们需要找到 kube-apiserver 的配置文件，并打开它进行编辑。在大多数环境中，默认的配置文件路径为 /etc/kubernetes/manifests/kube-apiserver.yaml。
$ sudo vi /etc/kubernetes/manifests/kube-apiserver.yaml
步骤 2：查找 enableServiceLink 选项
在打开的文件中，我们需要搜索 enableServiceLink 这个关键词。在 K8s 1.14 之前的版本，enableServiceLink 选项的值是 true 或 false。在 K8s 1.14 之后，该选项的值是 on 或 off。
根据你所使用的 K8s 版本，你可能会找到下面两行之一：
- --enable-service-links=true
或者
- --enable-service-links=on
步骤 3：修改 enableServiceLink 选项
将 enableServiceLink 的值修改为 false 或 off。修改后的行应该是这样的：
- --enable-service-links=false
或者
- --enable-service-links=off
步骤 4：保存并关闭文件
在完成修改后，按下 Esc 键，然后输入 :wq 保存并关闭文件。
步骤 5：重启 kube-apiserver
运行以下命令重启 kube-apiserver：
$ sudo systemctl restart kubelet
步骤 6：验证修改配置是否生效
为了验证我们的配置修改是否生效，我们可以通过运行以下命令来检查 kube-apiserver 的日志：
$ kubectl logs kube-apiserver -n kube-system
在日志输出中，我们应该看到类似这样的信息：
service_links.go:170] Warning: kube_service_service_links config is not set, defaulting to true
如果看到上述信息，则表示 enableServiceLink 已成功关闭。
结论
通过关闭 Kubernetes 的 enableServiceLink，我们可以提高集群的安全性。然而，关闭此选项也将导致集群内部服务之间的通信变得更加依赖 DNS 解析。因此，在关闭 enableServiceLink 之前，我们应该仔细评估集群中各个服务的依赖关系，以确保不会影响到正常的业务运行。
评论 (0)