Kubernetes 是一个流行的开源容器编排平台，可以用于管理容器化应用程序。在一个 Kubernetes 集群中，有许多资源需要进行访问控制，例如 POD、节点、服务、存储等等。为了实现对 Kubernetes 集群中资源的权限控制，Kubernetes 引入了 Role-Based Access Control（RBAC）机制。本篇文章将详细介绍在 Kubernetes 中使用 RBAC 进行权限控制。
RBAC 授权模型
Kubernetes 的 RBAC 授权模型定义了四种核心对象：Role、ClusterRole、RoleBinding 和 ClusterRoleBinding。
Role 和 ClusterRole 是定义权限的对象，它们的主要区别在于它们作用的范围不同。Role 仅作用于一个命名空间，而 ClusterRole 则可作用于整个集群。RoleBinding 和 ClusterRoleBinding 是将角色与用户或者用户组进行绑定的对象，它们用于给用户或用户组授予特定的权限。
一个完整的 RBAC 授权模型包括以下几个步骤：
- 创建角色（Role 或 ClusterRole）
- 定义规则（rules）来定义用户对资源的访问权限
- 创建角色绑定（RoleBinding 或 ClusterRoleBinding），将角色分配给用户或者用户组
示例
下面，我们通过一个示例来说明 RBAC 的使用方式。
我们假设有一个名为 default 的命名空间，我们需要给一个名为 userA 的用户赋予对该命名空间中 POD 的访问权限。我们可以执行如下步骤：
- 创建 Role 对象
我们可以编写一个名为 pod-reader 的 Role，该角色允许用户 userA 在命名空间 default 中阅读 POD：
-- -------------------- ---- ------- ----- ---- ----------- ---------------------------- --------- ---------- ------- ----- ---------- ------ - ---------- ---- - -- -- ---- --- ----- ---------- -------- ------ ------- -------- -------
- 创建 RoleBinding 对象
我们可以创建一个名为 pod-reader-binding 的 RoleBinding 对象，将 pod-reader 角色分配给 userA：
-- -------------------- ---- ------- ----- ----------- ----------- ---------------------------- --------- ----- ------------------ ---------- ------- --------- - ----- ---- ----- ----- --------- ------------------------- -------- ----- ---- ----- ---------- --------- -------------------------
- 验证权限设置
我们可以使用如下命令来测试用户 userA 是否拥有 POD 访问的权限：
kubectl auth can-i get pods -n default --as userA
如果命令返回了授权信息，说明用户 userA 成功获得了在命名空间 default 中访问 POD 的权限。
结论
在 Kubernetes 集群中使用 RBAC 进行访问控制可以确保集群资源的安全性和可靠性。RBAC 的使用可以让管理员对 Kubernetes 集群中的资源进行有效的权限控制，使得用户可以访问他们需要的资源，而将不必要的权限保护起来。本文提供了简明的使用样例供大家参考。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/676e49bd8be2a908450d486a