告别kubectl config：用Jumpserver一站式管理多K8s集群的浏览器直连方案-编程阁

告别kubectl config：用Jumpserver一站式管理多K8s集群的浏览器直连方案

在云原生技术快速发展的今天，Kubernetes已经成为容器编排的事实标准。但对于需要同时管理多个集群的运维和开发人员来说，频繁切换kubeconfig文件、处理证书过期问题、维护不同环境的访问权限，这些日常操作不仅耗时耗力，还容易引发安全隐患。有没有一种更优雅的解决方案？

Jumpserver作为一款开源的堡垒机系统，其Kubernetes管理功能正在改变这一现状。通过将K8s集群统一接入Jumpserver，我们可以实现：

零客户端依赖：直接通过浏览器访问所有集群，无需本地安装kubectl
统一权限管理：基于RBAC的细粒度控制，告别混乱的kubeconfig文件
完整审计追踪：所有操作记录可追溯，满足合规要求
多集群一站式管理：开发、测试、生产环境一键切换

1. 为什么需要替代传统的kubectl管理方式

1.1 传统方式的痛点分析

在典型的Kubernetes工作流中，开发者通常需要：

在本地维护多个kubeconfig文件
使用kubectl config use-context切换不同集群
定期更新过期的证书和token
为团队成员分发和管理访问凭证

这种方式存在几个明显问题：

安全风险：kubeconfig文件可能被泄露或误用
效率低下：频繁切换上下文容易出错
审计困难：无法追踪谁在什么时候执行了什么操作
权限混乱：难以实现细粒度的访问控制

1.2 Jumpserver带来的变革

Jumpserver的Kubernetes管理功能提供了全新的解决方案：

特性	传统方式	Jumpserver方案
访问方式	本地kubectl	浏览器Web终端
多集群管理	手动切换context	统一界面切换
权限控制	文件级控制	基于角色的RBAC
审计能力	有限	完整操作日志
依赖管理	需本地配置	零客户端依赖

2. 配置Jumpserver接入Kubernetes集群

2.1 准备Kubernetes服务账号

首先需要在目标集群创建专用服务账号：

# jumpserver-admin.yaml apiVersion: v1 kind: ServiceAccount metadata: name: jumpserver-admin namespace: kube-system --- kind: ClusterRoleBinding apiVersion: rbac.authorization.k8s.io/v1 metadata: name: jumpserver-admin subjects: - kind: ServiceAccount name: jumpserver-admin namespace: kube-system roleRef: kind: ClusterRole name: cluster-admin apiGroup: rbac.authorization.k8s.io

应用配置并获取访问token：

kubectl apply -f jumpserver-admin.yaml kubectl get sa jumpserver-admin -n kube-system -o yaml kubectl get secret <secret-name> -n kube-system -o jsonpath={".data.token"} | base64 -d

注意：生产环境建议使用更细粒度的权限而非cluster-admin

2.2 在Jumpserver中添加Kubernetes应用

登录Jumpserver控制台
导航至【应用管理】→【Kubernetes】
点击【创建】按钮
填写集群信息：
- 名称：有意义的标识（如"prod-cluster"）
- 集群地址：https://<master-ip>:6443
保存配置

3. 配置权限与访问控制

3.1 创建K8s系统用户

进入【资产管理】→【系统用户】
点击【创建】，协议选择"K8S"
填写认证信息：
- 授权名称：描述性名称
- 认证令牌：之前获取的base64解码后的token
保存配置

3.2 设置应用授权

导航至【权限管理】→【应用授权】
选择目标Kubernetes应用
点击【创建】按钮
配置授权规则：
- 授权名称：如"dev-team-access"
- 用户/用户组：选择允许访问的用户
- 系统用户：选择刚创建的K8S系统用户
提交保存

4. 使用Web终端管理Kubernetes

4.1 登录与基本操作

用户登录Jumpserver
左侧导航栏点击目标Kubernetes应用
系统会自动打开Web终端界面
直接输入kubectl命令，如：
```
kubectl get nodes kubectl get pods -A
```

4.2 高级功能体验

Jumpserver的Web终端不仅支持基本命令执行，还提供：

会话记录：所有操作自动记录，可回放审计
文件传输：通过Web界面上传/下载配置文件
多窗口管理：同时连接多个集群进行对比操作
命令补全：支持kubectl命令自动补全

5. 安全与审计最佳实践

5.1 安全加固建议

最小权限原则：
- 为不同团队创建不同权限级别的ServiceAccount
- 避免滥用cluster-admin角色

定期轮换Token：

# 删除旧secret触发自动创建新token kubectl delete secret <old-secret> -n kube-system

网络隔离：
- 限制Jumpserver服务器到K8s API Server的网络访问
- 启用TLS证书双向认证

5.2 审计与合规

Jumpserver提供完整的审计功能：

操作日志：记录每个用户的每一条命令
会话录像：完整保存终端操作过程
报表导出：支持定期生成合规报告

查看审计日志的方法：

进入【审计管理】→【命令记录】
按时间、用户或命令关键字筛选
可导出CSV或直接查看详情

6. 与传统方案的对比测试

我们在实际环境中对比了两种管理方式的操作效率：

操作场景	传统方式耗时	Jumpserver方式耗时
切换集群	15-30秒	3-5秒
新成员授权	30分钟+	5分钟
故障排查	依赖本地日志	完整审计追踪
证书更新	手动操作	自动管理
多集群操作	串行执行	并行处理