# Linux权限位（超详细)
前面讲解 ls 命令时，我们已经知道长格式显示的第一列就是文件的权限，例如：



```bash
[root@localhost ~]# ls -linstall.log
-rw-r--r--.1 root root 24772 1月 14 18:17 install.log
```
第一列的权限位如果不计算最后的"."(这个点的含义我们在后面解释），则共有 10 位
## 第 1 位代表文件类型。
Linux 不像 Windows 使用扩展名表示文件类型，而是使用权限位的第 1 位表示文件类型。虽然 Linux 文件的种类不像 Windows 中那么多，但是分类也不少，详细情况可以使用"info ls"命令查看。笔者在这里只讲一些常见的文件类型。
* -"-"：普通文件。
* -"b"：块设备文件。这是一种特殊设备文件，存储设备都是这种文件，如分区文件 /dev/sda1 就是这种文件。
* -"c"：字符设备文件。这也是特殊设备文件，输入设备一般都是这种文件，如鼠标、键盘等。
* -"d"：目录文件。Linux 中一切皆文件，所以目录也是文件的一种。
* -"l"：软链接文件。
* -"p"：管道符文件。这是一种非常少见的特殊设备文件。
* -"s"：套接字文件。这也是一种特殊设备文件，一些服务支持 Socket 访问，就会产生这样的文件。

## 第 2~4 位代表文件所有者的权限。
* -r：代表 read，是读取权限。
* -w：代表 write，是写权限。
* -x：代表 execute，是执行权限。
如果有字母，则代表拥有对应的权限；如果是"-"，则代表没有对应的权限。

## 第 5~7 位代表文件所属组的权限，同样拥有"rwx"权限。

## 第 8~10 位代表其他人的权限，同样拥有"rwx"权限。
这就是文件基本权限的含义，那我们看看下面这个文件的权限是什么。
```bash
[root@localhost ~]#ls -linstall.log
-rw-r--r--.1 root root 24772 1月 14 18:17 install.log
```

这个文件的所有者，也就是 root 拥户，拥有读和写权限；所属组中的用户，也就是 root 组中除 root 用户以外的其他用户，拥有只读权限；而其他人拥有只读权限。

最后，我们再看看权限位的这个"."的作用。这个点是在 CentOS 6 以上的系统中才出现的，在以前的系统中是没有的。刚开始，笔者也饱受这个点的困扰，在各种资料中都查不到这个点的说明。直到无意中查询了 "info ls" 命令，才明白这个点的含义：如果在文件的权限位中含有"."，则表示这个文件受 SELinux 的安全规则管理。

这个示例说明，任何资料都不如 Linux 自带的帮助文档准确和详细。所以，如果以后出现了不能解释的内容，则记得先查看 Linux 自带的帮助文档。

权限位置

端口大全

## 1. 引入
1. 之前方式部署应用基本过程
```
1. 编写yaml文件
   - depolyment
   - Service
   - Ingress

```



缺陷：

* 如果用之前方式部署单一应用，少数服务的应用，比较合适
* 如果部署微服务项目，可能有几十个服务，每个服务都有一个yaml文件，需要维护大量yaml文件，版本管理特别不方便

2. helm可以解决哪些问题？
```
- 使用helm可以把这些yaml作为一个整体管理
- 实现yaml高效复用
- 使用heml应用级别的
```
## 2. helm介绍
helm是一个kubernetes的包管理工具，就像Linux下的包管理器，如yum/apt等，可以很方便的将之前打包好的yaml文件部署到kubernetes上。

### 2.1 有3个重要概念
1. helm：一个命令行客户端工具，主要用于Kubernetes应用Chart的创建、打包、发布和管理
2. Chart：应用描述，一系列用于描述k8s资源相关文件的集合
3. Release：基于Chart的部署实体，一个chart被Helm运行后将会生成对应的一个release；将在k8s中创建出真实运行的资源对象。


### 2.2 helm在19年发布V3版本，与之前变化
1. V3版本删除Tiller。架构发生变化
2. release可以在不同命名空间重用
3. 将chart推送到docker仓库中

之前版本
![image.png](/static/img/fae11ce0b31a59dbdb8236543cd3aea7.image.png)


v3版本

![image.png](/static/img/dcf1628b71be21dc168523be9e4087cb.image.png)




## 3. 安装和配置
### 3.1 helm安装
1.  下载helm安装压缩文件，上传到linux系统中

![image.png](/static/img/8e70b186ec8dc8997bdd4bcffdc770a3.image.png)

2.  解压helm压缩文件，把解压之后helm目录复制到/usr/bin目录下

![image.png](/static/img/b77c73607ee0001f68bbf300e07e106c.image.png)

### 3.2 配置helm仓库
1. 添加仓库、删除仓库、查看仓库
```
helm repo add 仓库名称 地址
# 微软地址： http://mirror.azure.cn/kubernetes/charts
# 阿里云地址： https://kubernetes.oss-cn-hangzhou.aliyuncs.com/charts
helm repo update

# 查看
helm repo list

# 删除
helm repo remove 名称
```

## 4. 快速部署
1. 使用命令搜素应用
```shell
helm search repo 名称
```
2. 根据搜索内容进行选择安装
```
helm install 起的名称  包的名称

# 查看安装之后的状态

helm list
helm status 安装之后名称
```


![image.png](/static/img/7294b36902cc7eae9607cb2e869117e5.image.png)

![image.png](/static/img/08bb6eb230a02aaa1b8ff7fd592e370c.image.png)

> 如果遇到没有开发的端口，进行以下操作

修改service的yaml文件，type改为NodePort

![image.png](/static/img/8da5abd2365a15b2da6e9d1972c5fa38.image.png)



## 5. 如何自己创建Chart
### 5.1 使用命令创建chart
```
helm create chart 名称
```

![image.png](/static/img/03347660d0569629cda7722c2d3f120a.image.png)

* Chartyaml: 当前chart属性配置信息
* templates：编写yaml文件放到这个目录中，所有yaml文件的集合
* values.yml：yaml文件可以使用全局变量


### 5.2 在templates文件夹创建两个yaml文件
* deployment.yaml
```
kubectl create deployment web1 --image=nginx --dry-run -o yaml > deployment.yaml

```

![image.png](/static/img/02c9358677cc0b5d7e3951187739b55b.image.png)
* service.yaml

```
kubectl expose deployment web1 --port=80 --target-port=80 --type=NodePort --dry-run -o yaml > service.yaml
```
### 5.2 安装mychart
```
helm install web1 mychart
```
查看基本内容

![image.png](/static/img/09d3f4da1f0ddb69cbde0fb5b8c14d9e.image.png)

做升级和更新操作
```
helm upgrade web1 mychart
```
 
## 6. 实现yaml高效复用
通过传递参数，动态渲染模板，yaml内容动态传入参数生成，使用values.yml文件（定义yaml文件全局变量）

> yaml文件有几个地方不同的
> - image
> - tag
> - label
> - port
> - replicas
1. 在values.yml定义变量和值

![image.png](/static/img/a331bcbc1073299acdb4f99d116d717f.image.png)

3. 在具体yaml文件，获取定义变量值

通过表达式形式使用全局变量
```
{{.Values.变量名称}}
例如：{{.Release.Name}} 获取当前版本号的名称
```
原来的

![image.png](/static/img/63109ad720b6ec7ec9d6448e475d6327.image.png)
修改所用到的yaml

deployment.yaml
![image.png](/static/img/d61025b1b07d18867c0e5c40cb32a6c1.image.png)

service.yaml

![image.png](/static/img/ad66e4789fb8aacb202dd5dade712476.image.png)

10 kubernetes 核心技术- helm

## 1. secret
作用： 加密数据在etcd里面，让pod容器以挂载Volume方式进行访问



场景：凭证


![image.png](/static/img/fa16de771352e00259c6601665946f2c.image.png)

### 1、创建secret加密数据


```yaml
apiVersion: v1
kind: Secret
metadata: 
  name: mysecret
type: Opaque
data:
  username: ****
  password: ******
```

![image.png](/static/img/4599968943bd7288673b3083c7f467db.image.png)

```shell
kubectl create -f secret.yaml

```
### 2、以变量形式挂载到pod容器中


![image.png](/static/img/bbbf63143f56a52fea93322f4afaa5fc.image.png)
```
kubctl exec -it mypod bash # 进入mypod
```

![image.png](/static/img/eebcbbec04c2d58ed4db063723c9a760.image.png)

### 3. 以Volume形式挂载到pod容器中



![image.png](/static/img/74cc0e5d50755e17238f9ee8a1550858.image.png)

```
kubectl delete -f secret-val.yml
kubectl apply -f secret-vol.yaml
```

![image.png](/static/img/8f682c69a33204ed57484247733c703c.image.png)




## 2. configMap
作用：存储不加密的数据到etcd中，让pod以变量或者Volume挂载到容器中

场景：配置文件


### 1.建立配置文件
```shell
# 删掉所有的pod的内容
kubectl delete Pod --all

vim redis.properties

```
加入以下图片的内容：

![image.png](/static/img/049f15f23a2f6963185f2bb7e0399296.image.png)


### 2. 创建ConfigMap
```shell
kubectl create configmap redis-config  --from-file=redis.properties

# 查看
kubectl get cm
```

![image.png](/static/img/0f0cfeed3f3424e81e3f42dcd2a3f1c4.image.png)

### 3. 以Volume挂载到pod容器中


![image.png](/static/img/b7f03d637c3d2d4ec39bb6b96ee5adee.image.png)



### 4. 以变量形式挂载到pod容器中
1. 创建yaml，声明变量信息 configmap创建
2. 以变量挂载

![image.png](/static/img/78714841400b8c03893e0780e0bb9306.image.png)


![image.png](/static/img/1dd52af60a7c96f77643dfc61cd96782.image.png)

## 3. 集群安全机制
### 3.1 概述
1. 访问k8s集群时候，需要经过三个步骤完成具体操作
    
    第一步： 认证
    第二步：鉴权（授权）
    第三步：准入控制：人具体能不能找到
    
2. 进行访问时候，过程都需要经过api servier,api server 做统一协调，比如门卫。

    访问过程中需要证书、token、或者用户名+密码
   
    如果访问pod，需要serviceAccount
    
    
![image.png](/static/img/d3c1be10d43718e15e0157c605bd603f.image.png)
    
### 3.2 第一步：认证 传输安全
* 传输安全 ： 对外不暴露8080 端口，只能内部访问，对外使用端口6443
* 认证

    客户端身份认证常用方式：
    1. https证书认证，基于ca证书
    2. http token认证，通过token识别用户
    3. http基本认证，用户名+密码认证

### 3.3 第二步：鉴权（授权）
* 基于RBAC鉴权操作

```
角色：
 - role：特定命名空间的访问权限
 - ClusterRole：所有命名空间访问权限

角色绑定：
 - roleBinding：角色绑定到主体
 - ClusterRoleBinding：集群角色绑定到主体
 
 主体：
  - user：用户
  - group：用户组
  - serviceAccount：服务账号
```

> 步骤：

1. 创建命名空间


![image.png](/static/img/8e2b6b908521020e038de6bc08826952.image.png)

2. 在新创建的命名空间创建pod

```shell
kuectl run nginx --image=nginx -n roledemo
```

3. 创建角色
```yaml
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: roledemo
  name: prod-reader
rules:
  apiGroups: [""]  # ""indicates the core API Group
  resources: ['pods']
  verbs: ['get','watch','list']
```

![image.png](/static/img/b9850d602af238ef9678420b8dee7cdf.image.png)


4. 创建角色绑定


![image.png](/static/img/4946147e4c29ad7add29510a4625d2b4.image.png)

5. 使用证书识别身份

![image.png](/static/img/6179361be17c5c2d0fbfe48338558ae6.image.png)

查看

![image.png](/static/img/e3bc638a6df2ade51929fa73d87ac8d8.image.png)

### 3.4 准入控制
* 就是准入控制器的列表，如果列表有请求内容，通过，没有拒绝。

09 kubernetes配置管理

## 1. 简介
* 定义一组pod的访问规则




## 2. service存在的意义

* 防止Pod失联（用到的机制：服务发现），调度者通过名称获取ip地址


![image.png](/static/img/cad2842e20c3fed98057a46003be2a26.image.png)
 
* 定义一组Pod访问策略（负载均衡）


![image.png](/static/img/7dc33ba31d11ade36f1e8493f4827a46.image.png)


## 3.Pod和Service之间的关系

service的ip：叫做VIP，虚拟ip

![image.png](/static/img/1e4cd77c799c6ea71c92b07c1e446bf8.image.png)

根据lable和selector标签建立关联的

## 4. 常用的service的类型
1. Cluster Ip：默认是此类型

用于：pod和pod之间，集群之间内部访问

2. NodePort

用于：对外访问的应用使用
```
kubectl get svc # 获取对外访问端口
```
3. LoadBalancer

用于：对外访问的应用使用，公有云


node内网部署应用，外网一般不能访问的
* 找到一台可以进行外网访问机器，安装nginx，反向代理
* 手动把访问节点添加到nginx里面