K8S审计Webhook后端HTTPS认证配置方案咨询

我之前也碰到过这个问题，其实K8s的Config资源本身就支持HTTPS场景下的各类认证配置，只是你之前的基础配置里没用到这些字段。下面给你几种常见场景的具体配置方案：

1. 验证Webhook服务器的HTTPS证书（CA认证） #

如果你的Webhook服务器使用可信CA签发的证书，或者需要用自定义CA验证服务器证书，可在cluster字段下添加证书验证相关配置：

apiVersion: v1
kind: Config
clusters:
- cluster:
    server: https://34.68.115.34  # 替换为HTTPS地址
    # 方式1：指定本地CA证书路径（适用于节点本地文件）
    certificate-authority: /etc/kubernetes/audit/ca.crt
    # 方式2：使用base64编码的CA证书内容（适用于集群内通过Secret挂载的场景）
    # certificate-authority-data: <base64编码的CA证书内容>
  name: webcluster
contexts:
- context:
    cluster: webcluster
    user: ""
  name: default-context
current-context: default-context
preferences: {}
users: []

这个配置会让K8s在和Webhook通信时，用指定CA证书验证服务器HTTPS证书的合法性，避免中间人攻击。

2. 客户端证书认证（Webhook验证K8s身份） #

如果你的Webhook服务器需要确认请求来自合法的K8s集群，就需要配置客户端证书，让K8s发送请求时带上身份凭证：

apiVersion: v1
kind: Config
clusters:
- cluster:
    server: https://34.68.115.34
    certificate-authority: /etc/kubernetes/audit/ca.crt
  name: webcluster
contexts:
- context:
    cluster: webcluster
    user: k8s-audit-client  # 关联下面配置的用户
  name: default-context
current-context: default-context
preferences: {}
users:
- name: k8s-audit-client
  user:
    # 方式1：本地客户端证书和密钥路径
    client-certificate: /etc/kubernetes/audit/client.crt
    client-key: /etc/kubernetes/audit/client.key
    # 方式2：base64编码的证书/密钥内容
    # client-certificate-data: <base64编码的客户端证书>
    # client-key-data: <base64编码的客户端密钥>

配置后，K8s发送审计日志请求时会自动带上客户端证书，Webhook服务器可通过这个证书验证请求来源的合法性。

3. 基本HTTP认证（用户名+密码） #

如果你的Webhook服务器用简单的用户名密码做认证，可在users字段里配置基础认证信息：

apiVersion: v1
kind: Config
clusters:
- cluster:
    server: https://34.68.115.34
    certificate-authority: /etc/kubernetes/audit/ca.crt
  name: webcluster
contexts:
- context:
    cluster: webcluster
    user: audit-basic-auth
  name: default-context
current-context: default-context
preferences: {}
users:
- name: audit-basic-auth
  user:
    username: your-audit-username
    password: your-audit-password
    # 也可以直接用base64编码的"用户名:密码"字符串
    # auth: <base64编码的username:password>

额外提示 #

• 若在K8s集群内部使用这些配置，建议优先用*-data的base64编码形式，避免依赖节点本地文件路径。你可以用命令生成编码内容：cat your-cert.crt | base64 -w 0
• 所有证书和密钥都要确保是PEM格式，base64编码时不要包含换行符。

内容的提问来源于stack exchange，提问作者inza