kubesphere实战-多租户理解

本文原创未经允许不可转载

https://www.yuque.com/zhangnio/ilo388/czpizyggpbwz1kew
kubesphere 3.3.2版本

1. 平台存在3个角色，platfrom-admin，platform-self-provisioner，platform-regular。platfrom-admin，platform-self-provisioner这两个角色都能创建工作空间，那么该用谁创建workspace？具体视公司情况来定，如果你是老板拿到的是admin账号，手底下还有管理人员，那就可以将创建workspace的权限交给别人即创建一个platform-self-provisioner权限的账号，让他也管理workspace。如果本身就你一个管事的，那么就直接使用admin创建workspace。以此类推，决定是否权限下放。
2. 那么我就直接使用admin，创建3个workspace，对应 ws1-admin，ws2-admin，ws3-admin 三个用户，管理3个企业空间； （图一）
3. ws1-admin 登录企业空间，会发现ws1-admin里4个角色权限，这4个角色相当于将ws1-admin的角色权限细分，拥有小于等于ws1-admin的角色权限。这样应该会为了更加的灵活。（图二到图五）
   1. demo1-workspace-viewer 查看企业空间中的所有资源。（只能查看浏览这个workspace的各项信息，不能操作，新入手的员工）
   2. demo1-workspace-self-provisioner 查看企业设置、管理应用模板、创建项目和 DevOps 项目。（只能创建项目不能邀请别的人，这个权限只有demo1-workspace-admin能够拉人）
   3. demo1-workspace-regular 查看企业空间设置。 （权限最少的）
   4. demo1-workspace-admin 管理企业空间中的所有资源。（如果你还有别的同一级别的人员，这个可以拥有ws1-admin一样的权限相对于这个workspace，可以拉人，主要看项目的规模）
4. 创建project1-admin，project2-admin，project3-admin 三个用户，用于管理项目。
5. 如果项目规模比较大，你可以使用ws1-admin拉多人共同管理项目。然后授予多个人不同的权限。如果规模小，那么既是管理人员也是开发人员，就只需要一个使用ws1-admin分配一个project1-admin用户就可以了。project1-admin权限视情况而定。如果你分配了project1-admin的demo1-workspace-self-provisioner权限，那么project1-admin就只负责创建项目，不负责拉人，权限小一些。如果你分配了demo1-workspace-admin权限，那么project1-admin可以管理项目也可以拉人。
6. 使用project1-admin的权限的demo1-workspace-self-provisioner创建并点击该项目demo1-project,左边有项目成员，使用project1-user演示每个项目下的角色权限。（图八，九）
   1. viewer 查看项目中的所有资源。
   2. operator 管理项目中除用户和角色之外的资源。
   3. admin 管理项目中的所有资源。
7. 那么我就直接使用ws1-admin拉人，project1-admin，project1-user，然后project1-admin创建项目，project1-user查看项目。其实为了避免管理混乱，应该设置成一对多，一个大的权限被拆分成小权限，但是不包括大权限。但是这样又不灵活，所以具体视情况而定。
8. 不知道是bug还是什么问题，这个project1-user能创建项目，但是通篇看下来就这么个意思。显然有些权限可能没有回收掉，不过不影响，除了创建项目别的不能操作（图十一）
9. 当找不到项目或者企业空间时，点击左上角的黑色框，选择哪个项目或者企业空间
   

图一

图二

图三

图四

图五

图六

图七

（图八）

图九

图十

图十一

图十二