告别kubectl config：用Jumpserver一站式管理多K8s集群的浏览器直连方案

告别kubectl config：用Jumpserver一站式管理多K8s集群的浏览器直连方案

在云原生技术快速发展的今天，Kubernetes已经成为容器编排的事实标准。但对于需要同时管理多个集群的运维和开发人员来说，频繁切换kubeconfig文件、处理证书过期问题、维护不同环境的访问权限，这些日常操作不仅耗时耗力，还容易引发安全隐患。有没有一种更优雅的解决方案？

Jumpserver作为一款开源的堡垒机系统，其Kubernetes管理功能正在改变这一现状。通过将K8s集群统一接入Jumpserver，我们可以实现：

• 零客户端依赖：直接通过浏览器访问所有集群，无需本地安装kubectl
• 统一权限管理：基于RBAC的细粒度控制，告别混乱的kubeconfig文件
• 完整审计追踪：所有操作记录可追溯，满足合规要求
• 多集群一站式管理：开发、测试、生产环境一键切换

1. 为什么需要替代传统的kubectl管理方式

1.1 传统方式的痛点分析

在典型的Kubernetes工作流中，开发者通常需要：

1. 在本地维护多个kubeconfig文件
2. 使用kubectl config use-context切换不同集群
3. 定期更新过期的证书和token
4. 为团队成员分发和管理访问凭证

这种方式存在几个明显问题：

• 安全风险：kubeconfig文件可能被泄露或误用
• 效率低下：频繁切换上下文容易出错
• 审计困难：无法追踪谁在什么时候执行了什么操作
• 权限混乱：难以实现细粒度的访问控制

1.2 Jumpserver带来的变革

Jumpserver的Kubernetes管理功能提供了全新的解决方案：

2. 配置Jumpserver接入Kubernetes集群

2.1 准备Kubernetes服务账号

首先需要在目标集群创建专用服务账号：

# jumpserver-admin.yaml apiVersion: v1 kind: ServiceAccount metadata: name: jumpserver-admin namespace: kube-system --- kind: ClusterRoleBinding apiVersion: rbac.authorization.k8s.io/v1 metadata: name: jumpserver-admin subjects: - kind: ServiceAccount name: jumpserver-admin namespace: kube-system roleRef: kind: ClusterRole name: cluster-admin apiGroup: rbac.authorization.k8s.io

应用配置并获取访问token：

kubectl apply -f jumpserver-admin.yaml kubectl get sa jumpserver-admin -n kube-system -o yaml kubectl get secret <secret-name> -n kube-system -o jsonpath={".data.token"} | base64 -d

注意：生产环境建议使用更细粒度的权限而非cluster-admin

2.2 在Jumpserver中添加Kubernetes应用

1. 登录Jumpserver控制台
2. 导航至【应用管理】→【Kubernetes】
3. 点击【创建】按钮
4. 填写集群信息：
   • 名称：有意义的标识（如"prod-cluster"）
   • 集群地址：https://<master-ip>:6443
5. 保存配置

3. 配置权限与访问控制

3.1 创建K8s系统用户

1. 进入【资产管理】→【系统用户】
2. 点击【创建】，协议选择"K8S"
3. 填写认证信息：
   • 授权名称：描述性名称
   • 认证令牌：之前获取的base64解码后的token
4. 保存配置

3.2 设置应用授权

1. 导航至【权限管理】→【应用授权】
2. 选择目标Kubernetes应用
3. 点击【创建】按钮
4. 配置授权规则：
   • 授权名称：如"dev-team-access"
   • 用户/用户组：选择允许访问的用户
   • 系统用户：选择刚创建的K8S系统用户
5. 提交保存

4. 使用Web终端管理Kubernetes

4.1 登录与基本操作

1. 用户登录Jumpserver
2. 左侧导航栏点击目标Kubernetes应用
3. 系统会自动打开Web终端界面
4. 直接输入kubectl命令，如：

   kubectl get nodes kubectl get pods -A

4.2 高级功能体验

Jumpserver的Web终端不仅支持基本命令执行，还提供：

• 会话记录：所有操作自动记录，可回放审计
• 文件传输：通过Web界面上传/下载配置文件
• 多窗口管理：同时连接多个集群进行对比操作
• 命令补全：支持kubectl命令自动补全

5. 安全与审计最佳实践

5.1 安全加固建议

1. 最小权限原则：

   • 为不同团队创建不同权限级别的ServiceAccount
   • 避免滥用cluster-admin角色

2. 定期轮换Token：

   # 删除旧secret触发自动创建新token kubectl delete secret <old-secret> -n kube-system

3. 网络隔离：

   • 限制Jumpserver服务器到K8s API Server的网络访问
   • 启用TLS证书双向认证

5.2 审计与合规

Jumpserver提供完整的审计功能：

• 操作日志：记录每个用户的每一条命令
• 会话录像：完整保存终端操作过程
• 报表导出：支持定期生成合规报告

查看审计日志的方法：

1. 进入【审计管理】→【命令记录】
2. 按时间、用户或命令关键字筛选
3. 可导出CSV或直接查看详情

6. 与传统方案的对比测试

我们在实际环境中对比了两种管理方式的操作效率：

测试环境：管理5个Kubernetes集群，10人团队协作

实际使用中发现，Jumpserver的方案在以下场景表现尤为突出：

1. 紧急故障处理：无需等待同事发送kubeconfig文件
2. 新员工入职：一键授权即可获得适当权限
3. 跨集群部署：同时监控多个集群状态
4. 合规审计：快速响应安全团队的查询请求

对于需要同时管理多个Kubernetes集群的团队，这套方案至少能节省30%的日常管理时间，同时大幅降低安全风险。