在 .NET8 中獲取 k8s 集群的 Namespace id
將程序和機(jī)器進(jìn)行綁定是一種 License 校驗(yàn)的方法，需要能獲取到機(jī)器的唯一標(biāo)識(shí)，比如獲取機(jī)器的 Mac 地址就是獲取唯一標(biāo)識(shí)的一種方式，命令如下：
ifconfig |egrep 'ether' |awk '{{print $2}}'但如果程序部署在 k8s 中，每次容器構(gòu)建，使用上面命令獲取的 Mac 地址就會(huì)發(fā)生變化，我使用 kubesphere 做測(cè)試發(fā)現(xiàn)的確如此。
那么在 k8s 環(huán)境中想要獲取唯一標(biāo)識(shí)應(yīng)該怎么辦呢？
思路
- 在 kubesphere 中，通常會(huì)以項(xiàng)目來進(jìn)行組織，kubesphere 中的項(xiàng)目就是 k8s 中的 namespace，可以通過獲取 namespace id 的方式來獲取唯一標(biāo)識(shí)。
- .NET8 容器內(nèi)部需要安裝 kubectl 命令。
步驟
構(gòu)建 .NET8 底包鏡像，供后面程序使用，Dockerfile 內(nèi)容如下：
FROM mcr.microsoft.com/dotnet/aspnet:8.0
RUN apt-get install -y curl
# 安裝 kubectl
RUN curl -LO "https://dl.k8s.io/release/$(curl -L -s https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl" && \
chmod +x kubectl && \
mv kubectl /usr/local/bin/kubectl
# 確保 kubectl 已正確安裝
RUN kubectl version --client在 Dockerfile 所在目錄執(zhí)行下面命令進(jìn)行鏡像構(gòu)建：
docker build -t net8-kube .編寫示例程序獲取 namespace id，獲取 namespace id 的命令如下：
kubectl get namespace test -o jsonpath='{.metadata.uid}'創(chuàng)建一個(gè) .NET8 的 WebAPI 項(xiàng)目，執(zhí)行上面命令，并將結(jié)果輸出，代碼如下：
using System.Diagnostics;
var builder = WebApplication.CreateBuilder(args);
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();
var app = builder.Build();
if (app.Environment.IsDevelopment())
{
app.UseSwagger();
app.UseSwaggerUI();
}
app.UseHttpsRedirection();
app.MapGet("/GetNamespaceId", (string name) =>
{
string result = "id is empty";
try
{
string cmd = "kubectl get namespace "+name+" -o jsonpath='{.metadata.uid}'";
result= "id is :"+ExecuteCommand(cmd);
} catch (Exception ex)
{ Console.WriteLine(ex.Message);
} return result;
}) .WithOpenApi();
app.Run();
string ExecuteCommand(string command)
{
var processInfo = new ProcessStartInfo("bash", "-c \"" + command + "\"")
{ RedirectStandardOutput = true,
RedirectStandardError = true,
UseShellExecute = false,
CreateNoWindow = true
};
var process = new Process { StartInfo = processInfo };
process.Start();
string output = process.StandardOutput.ReadToEnd();
process.WaitForExit();
return output.Trim();
}將程序發(fā)布，并在 publish 目錄中創(chuàng)建 Dockerfile 文件：
FROM net8-kube:latest
COPY . /app
WORKDIR /app
ENTRYPOINT ["dotnet", "namespaceid.dll"]在 publish 目錄中執(zhí)行 docker build -t namespace-id-test . 命令進(jìn)行測(cè)試程序的鏡像構(gòu)建。
在 kubesphere 中創(chuàng)建一個(gè) test 項(xiàng)目，在該項(xiàng)目中創(chuàng)建無狀態(tài)負(fù)載部署示例程序，調(diào)用程序中的示例接口，發(fā)現(xiàn) namespace id 并沒有獲取到，日志中有報(bào)錯(cuò)信息：
Error from server (Forbidden): namespaces is forbidden: User "system:serviceaccount:test:default" cannot list resource "namespaces" in API group "" at the cluster scope
這個(gè)錯(cuò)誤表明，當(dāng)前在容器內(nèi)執(zhí)行 kubectl 命令的用戶（system:serviceaccount:test:default）沒有足夠的權(quán)限在集群范圍內(nèi)列出命名空間（namespaces）。這個(gè)問題通常與 k8s 中的角色綁定（RoleBinding）或集群角色綁定（ClusterRoleBinding）配置有關(guān)。
可以使用下面命令來查看對(duì)應(yīng)賬戶是否有權(quán)限：
kubectl auth can-i list namespaces --as=system:serviceaccount:test:default結(jié)果返回 yes 說明該 ServiceAccount 有權(quán)限，返回 no 說明沒有權(quán)限。
一種簡(jiǎn)單的解決方法就是將賬戶綁定到管理員角色上，命令如下：
kubectl create clusterrolebinding test-admin-binding \ --clusterrole=cluster-admin \ --serviceaccount=test:default但 cluster-admin 權(quán)限過大，在生產(chǎn)環(huán)境中不太安全，下面用另一種方法來解決，在服務(wù)器中創(chuàng)建一個(gè)名位 namespace_reader.yaml 的文件，內(nèi)容如下：
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
name: namespace-reader
rules:
- apiGroups: [""]
resources: ["namespaces"]
verbs: ["get", "list", "watch"]使用下面命令執(zhí)行后就創(chuàng)建了一個(gè)名為 namespace-reader 的角色。
kubectl apply -f namespace_reader.yaml角色創(chuàng)建成功后，就可以將 ServiceAccount 綁定到這個(gè)只讀角色了，命令如下：
kubectl create clusterrolebinding test-namespace-reader-binding \
--clusterrole=namespace-reader \
--serviceaccount=test:defaultServiceAccount 權(quán)限綁定后，再調(diào)用接口進(jìn)行測(cè)試，會(huì)發(fā)現(xiàn)已經(jīng)可以正常獲取 namespace id 了。
