rbac 解析

xiangzilong

已于 2022-01-22 20:35:16 修改

阅读量3.8k

点赞数

分类专栏： k8s篇文章标签：运维安全

于 2022-01-22 20:34:19 首次发布

本文链接：https://blog.csdn.net/qq_36270681/article/details/122642393

版权

k8s篇专栏收录该内容

74 篇文章 3 订阅

订阅专栏

rbac 基于角色的访问控制

主体（subject）

user: 用户

Group: 用户组

serviceaccount: 服务账号

kubectl create sa psp-denial-sa -n staging

角色：

role: 授权特定命名空间的访问权限

kubectl create role role-2 -n db --verb=delete --resource=namespaces

clusterrole: 授权所有的命名空间访问权限

kubectl create clusterrole restrict-access-role --verb=use --resource=psp --resource-name=restrict-policy

角色绑定：

rolebiding: 将角色绑定到主体（指定名称空间授权）

kubectl create rolebinding role-2-binding --role=role-2 --serviceaccount=db:service-account-web -n db

clusterrolebinding:将集群角色绑定到主体（集群范围授权）

kubectl create clusterrolebinding dany-access-bind --clusterrole=restrict-access-role --serviceaccount=staging:psp-denial-sa

pod 挂载sa

apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - image: nginx
    name: nginx
    volumeMounts:
    - mountPath: /var/run/secrets/tokens
      name: vault-token
  serviceAccountName: build-robot
  volumes:
  - name: vault-token
    projected:
      sources:
      - serviceAccountToken:
          path: vault-token
          expirationSeconds: 7200
          audience: vault