Kubespray禁用非安全端口与匿名认证：安装限制及事后配置问询

别担心，这完全不是Kubespray的安装限制，不管是安装时还是安装后，你都能轻松配置这两个参数。我给你详细拆解一下：

Kubespray本身完全支持同时禁用非安全端口和匿名访问，而且这两个配置的关联性也很清晰——正如你提到的，禁用非安全端口要求authorization_modes包含RBAC，而RBAC是Kubespray默认启用的授权模式（默认kube_authorization_modes为["Node", "RBAC"]），所以这个前提条件已经满足，不需要额外担心冲突。

当然可以，而且推荐用Kubespray本身的方式来修改，这样能保证配置的一致性，避免下次运维操作时被覆盖。如果你着急的话，也可以手动修改静态Pod配置，但更建议用官方的playbook方式。

推荐方式：通过Kubespray Playbook更新（保持配置一致性） #

1. 回到你的Kubespray项目目录，找到集群配置文件：inventory/[你的集群名称]/group_vars/k8s_cluster/k8s-cluster.yml
2. 修改以下两个参数：
   • 将kube_apiserver_insecure_port: 8080改为kube_apiserver_insecure_port: 0
   • 将kube_api_anonymous_auth: true改为kube_api_anonymous_auth: false
3. 运行针对kube-apiserver的更新playbook，这样不用重新部署整个集群，效率更高：

   ansible-playbook -i inventory/[你的集群名称]/inventory.ini cluster.yml --tags=kube-apiserver
   

4. 验证配置是否生效：
   • 查看kube-apiserver Pod的启动参数：kubectl describe pod kube-apiserver-<你的节点名> -n kube-system，确认输出里有--insecure-port=0和--anonymous-auth=false
   • 测试非安全端口：curl http://<控制节点IP>:8080，应该返回连接失败；尝试匿名访问API服务器的安全端口（比如curl https://<控制节点IP>:6443），会收到“Unauthorized”的响应，说明匿名访问已被禁用。

应急方式：手动修改静态Pod配置（不推荐，易被覆盖） #

如果暂时无法运行Kubespray playbook，可以手动修改每个控制节点上的kube-apiserver静态Pod配置：

1. 登录到每个控制节点，找到静态Pod配置文件：/etc/kubernetes/manifests/kube-apiserver.yaml
2. 在spec.containers[0].command列表中修改或添加以下参数：
   • 替换或添加--insecure-port=0
   • 替换或添加--anonymous-auth=false
3. 保存文件后，kubelet会自动检测到配置变化并重启kube-apiserver Pod
4. 同样用上面的验证方法确认配置生效

注意：手动修改的配置会在下次运行Kubespray playbook时被覆盖，所以如果长期维护的话，一定要同步修改Kubespray的集群配置文件。

内容的提问来源于stack exchange，提问作者user1819071