身份认证与访问控制
API Server 上的每个请求都要回答"你是谁"与"你能做什么"。本章系统梳理 Kubernetes 的认证与鉴权体系：从用户与 ServiceAccount 的身份模型、各类认证策略与 RBAC，到 v1.34 GA 的结构化认证与鉴权配置；再到面向运维的 kubeconfig 与 token 认证、kubelet 的认证授权、TLS Bootstrap 与集群证书管理；最后介绍 SPIFFE 与 SPIRE 如何为工作负载提供跨集群、跨平台的统一身份，构成零信任架构的基础。
章节目录
Kubernetes 中的身份管理、RBAC 权限控制、SPIRE/SPIFFE 安全身份框架概述。
全面介绍 Kubernetes 的认证与鉴权体系，阐释用户身份验证与访问权限控制机制，帮助理解 API 安全的多层防护流程。
深入了解 Kubernetes 集群中的用户管理和身份认证机制，包括普通用户与 Service Account 的区别、各种认证策略的配置与使用，以及认证流程的详细实现。
详细介绍 Kubernetes 中的 ServiceAccount 概念，包括其作用、配置方法和最佳实践，帮助理解 Pod 身份认证机制。
深入了解 Kubernetes RBAC（基于角色的访问控制）授权机制，包括 Role、ClusterRole、RoleBinding 和 ClusterRoleBinding 的概念与使用，以及默认角色、权限管理和最佳实践。
介绍 kube-apiserver 的结构化认证配置（AuthenticationConfiguration，v1.34 GA）与结构化鉴权配置（AuthorizationConfiguration，v1.32 GA）：用声明式文件取代 --oidc-* 与 --authorization-mode 等命令行参数，支持多 JWT 签发方、CEL 声明映射与校验、多 Webhook 授权链、匹配条件与失败策略，并可热加载。
动手实践 Kubernetes 的两种常用用户认证方式：用 CertificateSigningRequest API 为普通用户签发客户端证书并生成受限的 kubeconfig、用 RBAC 把用户绑定到指定命名空间并验证；以及为自动化与 Dashboard 场景创建 ServiceAccount 并获取短期或长期 token，附安全实践与常见问题。
详细介绍 Kubelet HTTPS 端点的认证和授权机制，包括匿名访问控制、X.509 证书认证、Bearer Token 认证以及基于 Webhook 的授权配置方法。
介绍如何为 Kubernetes kubelet 配置 TLS 客户端证书自动引导，包括 kube-apiserver、kube-controller-manager 和 kubelet 的详细配置步骤。
详细介绍 Kubernetes 集群中 TLS 证书的管理机制，包括集群根证书颁发机构（CA）的工作原理、证书签名请求（CSR）的创建和批准流程，以及如何在 Pod 中建立 TLS 信任关系。
本文介绍了 SPIFFE 的核心概念，包括工作负载、SPIFFE ID、信任域、SVID 和工作负载 API 等，以及它们在云原生应用中的应用。
本文详细介绍 SPIRE 的架构、核心组件、证明机制和工作原理。