随着 Kubernetes 的快速发展，越来越多的企业开始将应用程序部署到 Kubernetes 上。但是，Kubernetes 中的资源越来越多，管理起来越来越复杂。为了更好地管理资源，Kubernetes 为我们提供了一种基于角色的访问控制（RBAC）机制，可以对资源进行授权管理。本文将介绍 Kubernetes 中如何使用 RBAC 对资源进行授权管理。
1. RBAC 简介
基于角色的访问控制（RBAC）是 Kubernetes 中的一种授权机制，主要用于授予不同的用户或用户组对不同的资源进行不同的操作权限。
在 Kubernetes 中，RBAC 通过三个关键概念来实现：
- Role：定义了一组访问规则（permissions），可以授予给用户或用户组。
- RoleBinding：将一个 Role 绑定到一个用户或用户组上，从而赋予他们相应的权限。
- ClusterRole 和 ClusterRoleBinding：与 Role 和 RoleBinding 功能类似，但它们是用于集群范围的授权管理。
2. RBAC 的使用方法
2.1 定义 Role
在 Kubernetes 中，我们可以使用 YAML 文件来定义 Role。以下是一个定义了一个访问 ConfigMap 的 Role，只有读的权限。
-- -------------------- ---- -------
----------- ----------------------------
----- ----
---------
---------- -------
----- ----------------
------
- ---------- ----
---------- --------------
------ ------- -------- -------以上 YAML 文件中，定义了一个名为 configmap-reader 的 Role，只有对 ConfigMap 的 get、watch 和 list 权限。
在 rules 字段中，我们可以设置一个或多个规则。每个规则都是一个包含 apiGroups、resources 和 verbs 的对象，它们分别定义了访问规则。
apiGroups：该访问规则所属的 API 组。如果为空，则表示在所有 API 组中使用。resources：该访问规则所属的资源类型。verbs：该访问规则所允许的操作权限。
2.2 定义 RoleBinding
定义好 Role 后，接下来要将它绑定到用户或用户组上，从而赋予他们相应的权限。我们可以使用 YAML 文件来定义 RoleBinding。以下是一个定义了将 configmap-reader 角色绑定到 default 命名空间 cluster-admin 用户上的 RoleBinding。
-- -------------------- ---- -------
----------- ----------------------------
----- -----------
---------
----- --------------
---------- -------
---------
- ----- ----
----- -------------
--------- -------------------------
--------
----- ----
----- ----------------
--------- -------------------------在以上 YAML 文件中，定义了一个名为 read-configmap 的 RoleBinding，将 configmap-reader 角色绑定到 cluster-admin 用户上。
在 subjects 字段中，我们可以设置一个或多个用户或用户组。每个用户或用户组都是一个包含 kind、name 和 apiGroup 的对象，它们分别表示为普通用户、服务账号或者组。
在 roleRef 字段中，我们需要指定该 RoleBinding 所绑定的 Role。
2.3 验证权限
完成以上两个步骤后，我们可以通过 kubectl auth can-i 命令进行权限验证。例如，我们想要验证 cluster-admin 用户是否有权限访问默认命名空间中的 ConfigMap。
kubectl auth can-i get configmaps --namespace=default --as=cluster-admin
运行以上命令，如果输出允许的话，则表示用户具有访问权限。
3. 示例代码
以下是一个完整的例子，展示了如何在 Kubernetes 中使用 RBAC 来授权用户访问 ConfigMap。
首先，先定义一个访问 ConfigMap 的 Role。创建 configmap-reader.yaml 文件，并将以下内容写入文件中。
-- -------------------- ---- -------
----------- ----------------------------
----- ----
---------
---------- -------
----- ----------------
------
- ---------- ----
---------- --------------
------ ------- -------- -------接着，创建一个 RoleBinding，然后将 Role 绑定到其中。将以下内容写入 read-configmap.yaml 文件中。
-- -------------------- ---- -------
----------- ----------------------------
----- -----------
---------
----- --------------
---------- -------
---------
- ----- ----
----- -------------
--------- -------------------------
--------
----- ----
----- ----------------
--------- -------------------------使用以下命令来创建 Role 和 RoleBinding：
kubectl apply -f configmap-reader.yaml kubectl apply -f read-configmap.yaml
最后，验证用户是否有权限访问 ConfigMap。使用以下命令：
kubectl auth can-i get configmaps --namespace=default --as=cluster-admin
如果输出允许的话，则表示用户具有访问权限。
4. 总结
RBAC 是 Kubernetes 中重要的授权机制，可以通过定义 Role 和 RoleBinding 来对资源进行授权管理。使用 RBAC 可以灵活地授予不同用户或用户组进行不同程度的权限控制，以保护 Kubernetes 中的资源安全。在实际项目中，我们可以根据业务需求，灵活地使用 RBAC 来进行授权管理。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64770d97968c7c53b039e42e