在 Kubernetes 中，访问控制是非常重要的。因为 Kubernetes 集群中包含了许多关键的资源，如容器、服务、节点等，这些资源的访问必须得到充分的管理和保护。RBAC（Role-Based Access Control）是 Kubernetes 的一种访问控制机制，可以在 Kubernetes 中精细控制每个用户或服务的访问权限。
RBAC 的基本概念
Role
在 Kubernetes 中，Role 是一个可以授予一组资源的访问权限的对象。例如，您可以创建一个 Role，然后将其绑定到一个命名空间，授予在该命名空间中的 Pod 访问其他资源的权限。
RoleBinding
RoleBinding 是一种将 Role 与 User、Group 或 ServiceAccount 绑定的方式。例如，您可以创建一个 RoleBinding，然后将其绑定到一个命名空间中的 ServiceAccount，使该 ServiceAccount 可以访问在该命名空间中的所有资源。
ClusterRole
ClusterRole 是一种可以授予集群中所有命名空间的资源访问权限的对象。例如，您可以创建一个 ClusterRole，然后将其绑定到一个用户或服务帐户，以便在整个集群范围内访问资源。
ClusterRoleBinding
ClusterRoleBinding 是将 ClusterRole 与 User、Group 或 ServiceAccount 绑定的方式。例如，您可以创建一个 ClusterRoleBinding，然后将其绑定到集群中的一个 ServiceAccount，使该 ServiceAccount 可以访问集群中的所有资源。
RBAC 的操作示例
创建一个 Role
-- -------------------- ---- ------- ----- ---- ----------- --------------------------------- --------- ---------- ------- ----- ---------- ------ - ---------- ---- - -- -- ---- --- ----- ---------- -------- ------ ------- -------- -------
这个 Role 具有在默认命名空间中的 Pod 的 get、watch 和 list 访问权限。需要注意的是，如果您使用了 non-core 的 API groups，例如 extensions、apps 等，您需要将 apiGroups 的值设置为该 API group 的名称。
创建一个 RoleBinding
-- -------------------- ---- ------- ----------- --------------------------------- ----- ----------- --------- ----- --------- ---------- ------- --------- - ----- ---- ----- ----- -------- ----- ---- ----- ---------- --------- -------------------------
这个 RoleBinding 将 Role pod-reader 绑定到名为 alice 的 User 上。当 alice 试图访问在默认命名空间中的 Pod 时，它就会被授权，因为 alice 有 pod-reader Role 的权限。
创建一个 ClusterRole
kind: ClusterRole apiVersion: rbac.authorization.k8s.io/v1beta1 metadata: name: secret-reader rules: - apiGroups: [""] resources: ["secrets"] verbs: ["get", "list"]
这个 ClusterRole 具有在集群范围内的 Secret 的 get 和 list 权限。
创建一个 ClusterRoleBinding
-- -------------------- ---- ------- ----------- --------------------------------- ----- ------------------ --------- ----- ------------ --------- - ----- -------------- ----- ------- ---------- ------- -------- ----- ----------- ----- ------------- --------- -------------------------
这个 ClusterRoleBinding 将 ClusterRole secret-reader 绑定到名为 default 的 ServiceAccount 上，使 default 可以访问整个集群的 Secret。
总结
通过上面的示例代码，我们可以了解 Kubernetes 中 RBAC 的基本概念和使用。RBAC 机制可以为 Kubernetes 管理员提供细粒度的权限控制能力，使他们可以根据需要为每个用户或服务帐户分配相应的权限。因此，在 Kubernetes 中实施 RBAC 是非常重要的一步。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6546166a7d4982a6ebfdf1f8