Kubernetes 是一个开源的容器编排系统，它提供了一种统一的方式来管理和部署容器化应用程序。在 Kubernetes 中，基于角色的访问控制是一个非常重要的功能，可以帮助管理员更好地管理集群中的资源和用户。
什么是基于角色的访问控制？
基于角色的访问控制（RBAC）是一种授权机制，它允许管理员定义不同的角色，每个角色有不同的权限和访问级别。管理员可以将这些角色分配给不同的用户或用户组，以控制他们对 Kubernetes 集群中资源的访问权限。
Kubernetes 中的 RBAC
在 Kubernetes 中，RBAC 由四个主要的对象组成：Role、RoleBinding、ClusterRole 和 ClusterRoleBinding。
Role 和 RoleBinding
Role 是一组权限，它定义了访问 Kubernetes 集群中资源的权限。RoleBinding 将 Role 与用户或用户组关联起来，以授予他们对资源的访问权限。
以下是一个 Role 和 RoleBinding 的示例：
// javascriptcn.com 代码示例 apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: pod-reader rules: - apiGroups: [""] # "" 表示核心 API 组 resources: ["pods"] verbs: ["get", "watch", "list"] --- apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: read-pods subjects: - kind: User name: alice roleRef: kind: Role name: pod-reader apiGroup: rbac.authorization.k8s.io
这个示例中，我们定义了一个名为 pod-reader 的 Role，它授予了用户对 pods 资源的 get、watch 和 list 权限。我们还定义了一个名为 read-pods 的 RoleBinding，它将 pod-reader Role 与用户 alice 关联起来。
ClusterRole 和 ClusterRoleBinding
ClusterRole 是一组权限，它定义了访问 Kubernetes 集群中所有资源的权限。ClusterRoleBinding 将 ClusterRole 与用户或用户组关联起来，以授予他们对资源的访问权限。
以下是一个 ClusterRole 和 ClusterRoleBinding 的示例：
// javascriptcn.com 代码示例 apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: pod-reader rules: - apiGroups: [""] # "" 表示核心 API 组 resources: ["pods"] verbs: ["get", "watch", "list"] --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: read-pods subjects: - kind: User name: alice roleRef: kind: ClusterRole name: pod-reader apiGroup: rbac.authorization.k8s.io
这个示例中，我们定义了一个名为 pod-reader 的 ClusterRole，它授予了用户对所有 pods 资源的 get、watch 和 list 权限。我们还定义了一个名为 read-pods 的 ClusterRoleBinding，它将 pod-reader ClusterRole 与用户 alice 关联起来。
示例代码
以下是一个使用 RBAC 的示例代码，它创建了一个名为 nginx 的 Deployment，并将其暴露为一个名为 nginx-service 的 Service。我们还定义了一个名为 pod-reader 的 Role 和 RoleBinding，它允许用户对 nginx-pod 的 get、watch 和 list 操作。
// javascriptcn.com 代码示例
apiVersion: apps/v1
kind: Deployment
metadata:
name: nginx
spec:
selector:
matchLabels:
app: nginx
replicas: 1
template:
metadata:
labels:
app: nginx
spec:
containers:
- name: nginx
image: nginx:1.14
ports:
- containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
name: nginx-service
spec:
selector:
app: nginx
ports:
- name: http
port: 80
targetPort: 80
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
name: pod-reader
rules:
- apiGroups: [""] # "" 表示核心 API 组
resources: ["pods"]
verbs: ["get", "watch", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: read-pods
subjects:
- kind: User
name: alice
roleRef:
kind: Role
name: pod-reader
apiGroup: rbac.authorization.k8s.io总结
在 Kubernetes 中，基于角色的访问控制是一个非常重要的功能，它允许管理员更好地管理集群中的资源和用户。通过定义 Role 和 RoleBinding 或 ClusterRole 和 ClusterRoleBinding，管理员可以授予用户对 Kubernetes 集群中资源的不同权限。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/653c5e167d4982a6eb685b6e