Kubernetes 是一个广泛使用的容器编排工具，它可以轻松部署和管理容器化应用程序。在 Kubernetes 中，权限和访问控制非常重要，因为它们确保了集群安全。本文将介绍如何在 Kubernetes 中实现权限和访问控制。
Kubernetes 权限模型
Kubernetes 的权限模型是基于角色的访问控制（RBAC）的。RBAC 基于一组规则来定义用户或者实体的权限，这些规则指定哪些资源可以访问以及可以执行哪些操作。
在 Kubernetes 中，有三个关键对象用于实现 RBAC：
- Role：定义了一组资源对象和操作，然后授予一组用户或者用户组访问这些资源和操作的权限。
- ClusterRole：类似于 Role，但作用在整个集群范围内。ClusterRole 可以被使用在任何 namespace 上。
- RoleBinding 和 ClusterRoleBinding：定义了哪些用户或者用户组与哪些 Role 或 ClusterRole 相关连。RoleBinding 的作用范围仅限于命名空间内，而 ClusterRoleBinding 的作用范围是整个集群。
实现 Kubernetes 权限与访问控制
在 Kubernetes 中实现权限与访问控制通常需要以下步骤：
1. 创建 Role 或者 ClusterRole
首先，需要创建一个 Role 或者 ClusterRole。Role 的作用范围仅限于一个命名空间，而 ClusterRole 可以作用于整个集群。
下面是创建一个名为 test-role 的 Role，它可以访问 Deployment 和 Service 对象，并可以执行 create、update、scale 和 delete 操作。
-- -------------------- ---- ------- ----------- ---------------------------- ----- ---- --------- ---------- ------- ----- --------- ------ - ---------- -------- ------------- --- ---------- --------------- ----------- ------ ---------- --------- -------- ---------
2. 创建 RoleBinding 或者 ClusterRoleBinding
接下来，需要创建一个 RoleBinding 或者 ClusterRoleBinding ，把 Role 或者 ClusterRole 和用户或者用户组关联起来。
下面是创建一个名为 test-role-binding 的 RoleBinding，将 test-role 赋予 user1。
-- -------------------- ---- ------- ----------- ---------------------------- ----- ----------- --------- ----- ----------------- ---------- ------- --------- - ----- ---- ----- ----- --------- ------------------------- -------- ----- ---- ----- --------- --------- -------------------------
3. 应用 RoleBinding 或者 ClusterRoleBinding
最后一步是应用 RoleBinding 或者 ClusterRoleBinding。应用后，用户或者用户组将能够根据其角色执行操作。
$ kubectl apply -f test-role-binding.yaml
现在，user1 将能够访问 default 命名空间下的 Deployment 和 Service 对象，并且可以执行 create、update、scale 和 delete 操作。
示例
现在，我们将使用示例来演示如何在 Kubernetes 中实现权限与访问控制。
创建名为 test 的 Deployment
创建一个名为 test 的 Deployment。
-- -------------------- ---- -------
----------- -------
----- ----------
---------
----- ----
-------
---- ----
-----
--------- -
---------
------------
---- ----
---------
---------
-------
---- ----
-----
-----------
- ----- ----
------ ------------创建名为 nginx-service 的 Service
创建一个名为 nginx-service 的 Service。
-- -------------------- ---- -------
----------- --
----- -------
---------
----- -------------
-----
---------
---- ----
------
- ----- ----
--------- ---
----- --
----------- --创建名为 test-role 的 Role
创建一个名为 test-role 的 Role。
-- -------------------- ---- ------- ----------- ---------------------------- ----- ---- --------- ---------- ------- ----- --------- ------ - ---------- -------- ------------- --- ---------- --------------- ----------- ------ ---------- --------- -------- ---------
创建名为 test-role-binding 的 RoleBinding
创建一个名为 test-role-binding 的 RoleBinding，将 test-role 赋予 user1。
-- -------------------- ---- ------- ----------- ---------------------------- ----- ----------- --------- ----- ----------------- ---------- ------- --------- - ----- ---- ----- ----- --------- ------------------------- -------- ----- ---- ----- --------- --------- -------------------------
验证权限与访问控制
现在，我们已经定义了一个具有足够权限的用户 user1，下面我们来测试一下。
首先，我们需要通过 kubectl 使用 user1 登录 Kubernetes 集群。
$ kubectl config set-context $(kubectl config current-context) --user=user1
接下来，我们将通过 user1 创建 Deployment 和 Service 对象。
$ kubectl create -f test-deployment.yaml $ kubectl create -f nginx-service.yaml
最后，我们将通过 user1 删除 Deployment 和 Service 对象。
$ kubectl delete deployment test $ kubectl delete service nginx-service
以上操作如果能够成功执行，则说明我们已经按照预期实现了权限与访问控制。
总结
在 Kubernetes 中实现权限与访问控制是保证集群安全的重要步骤。本文介绍了 Kubernetes 的角色访问控制模型以及如何实现权限与访问控制。我希望本文的示例能够帮助读者深入了解如何在 Kubernetes 上保证集群的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64e3158af6b2d6eab3e6f9f8