Kubernetes 中 RBAC 权限控制详解-JavaScript中文网-JavaScript教程资源分享门户

在 Kubernetes 中，访问控制是非常重要的。因为 Kubernetes 集群中包含了许多关键的资源，如容器、服务、节点等，这些资源的访问必须得到充分的管理和保护。RBAC（Role-Based Access Control）是 Kubernetes 的一种访问控制机制，可以在 Kubernetes 中精细控制每个用户或服务的访问权限。

RBAC 的基本概念

Role

在 Kubernetes 中，Role 是一个可以授予一组资源的访问权限的对象。例如，您可以创建一个 Role，然后将其绑定到一个命名空间，授予在该命名空间中的 Pod 访问其他资源的权限。

RoleBinding

RoleBinding 是一种将 Role 与 User、Group 或 ServiceAccount 绑定的方式。例如，您可以创建一个 RoleBinding，然后将其绑定到一个命名空间中的 ServiceAccount，使该 ServiceAccount 可以访问在该命名空间中的所有资源。

ClusterRole

ClusterRole 是一种可以授予集群中所有命名空间的资源访问权限的对象。例如，您可以创建一个 ClusterRole，然后将其绑定到一个用户或服务帐户，以便在整个集群范围内访问资源。

ClusterRoleBinding

ClusterRoleBinding 是将 ClusterRole 与 User、Group 或 ServiceAccount 绑定的方式。例如，您可以创建一个 ClusterRoleBinding，然后将其绑定到集群中的一个 ServiceAccount，使该 ServiceAccount 可以访问集群中的所有资源。

RBAC 的操作示例

创建一个 Role

// javascriptcn.com 代码示例
kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""] # "" 代表 core API group
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

这个 Role 具有在默认命名空间中的 Pod 的 get、watch 和 list 访问权限。需要注意的是，如果您使用了 non-core 的 API groups，例如 extensions、apps 等，您需要将 apiGroups 的值设置为该 API group 的名称。

创建一个 RoleBinding

// javascriptcn.com 代码示例
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: default
subjects:
- kind: User
  name: alice
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

这个 RoleBinding 将 Role pod-reader 绑定到名为 alice 的 User 上。当 alice 试图访问在默认命名空间中的 Pod 时，它就会被授权，因为 alice 有 pod-reader Role 的权限。

创建一个 ClusterRole

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: secret-reader
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list"]

这个 ClusterRole 具有在集群范围内的 Secret 的 get 和 list 权限。

创建一个 ClusterRoleBinding

// javascriptcn.com 代码示例
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: read-secrets
subjects:
- kind: ServiceAccount
  name: default
  namespace: default
roleRef:
  kind: ClusterRole
  name: secret-reader
  apiGroup: rbac.authorization.k8s.io

这个 ClusterRoleBinding 将 ClusterRole secret-reader 绑定到名为 default 的 ServiceAccount 上，使 default 可以访问整个集群的 Secret。

总结

通过上面的示例代码，我们可以了解 Kubernetes 中 RBAC 的基本概念和使用。RBAC 机制可以为 Kubernetes 管理员提供细粒度的权限控制能力，使他们可以根据需要为每个用户或服务帐户分配相应的权限。因此，在 Kubernetes 中实施 RBAC 是非常重要的一步。

来源：JavaScript中文网，转载请注明来源本文地址：https://www.javascriptcn.com/post/6546166a7d4982a6ebfdf1f8