解析Kubernetes权限迷宫：rakkess权限矩阵工具实战指南-优快云博客

解析Kubernetes权限迷宫：rakkess权限矩阵工具实战指南

引言：Kubernetes权限管理的痛点与解决方案

你是否曾在排查Kubernetes集群权限问题时感到无从下手？当用户反馈"权限不足"错误时，你是否需要在Role、ClusterRole、RoleBinding和ClusterRoleBinding之间反复切换检查？单个资源的权限查询可以使用kubectl auth can-i list deployments，但面对数十种资源和复杂的权限组合时，这种方式效率极低。

读完本文你将掌握：

如何使用rakkess生成直观的Kubernetes权限矩阵
快速定位特定资源的所有授权主体(Subjects)
比较不同用户/服务账户的权限差异
在命名空间隔离环境中审计资源访问权限
排查名称受限角色(Name-restricted roles)的权限问题

rakkess作为一款强大的kubectl插件，能够以矩阵形式展示Kubernetes资源的访问权限，帮助开发者和运维人员快速理解复杂的RBAC(Role-Based Access Control，基于角色的访问控制)配置。本文将从实际应用场景出发，通过丰富的代码示例和可视化图表，全面解析rakkess的核心功能与高级用法。

项目概述：rakkess是什么？

rakkess(全称Review Access)是一个开源的kubectl插件，用于生成Kubernetes集群资源的访问权限矩阵。它能够：

以表格形式展示当前用户对所有Kubernetes资源的访问权限
反向查询特定资源的所有授权主体(用户、服务账户、组)
比较不同用户/服务账户的权限差异
支持命名空间级和集群级权限查询
处理名称受限的角色配置

mermaid

rakkess的核心价值在于将复杂的RBAC规则转化为直观的可视化矩阵，大幅降低Kubernetes权限管理的复杂度。与原生kubectl auth can-i --list命令相比，rakkess提供了更丰富的过滤选项和更友好的输出格式。

安装指南：多种方式快速部署

通过krew安装(推荐)

krew是Kubernetes官方的kubectl插件管理器，通过以下命令一键安装：

kubectl krew install access-matrix

安装完成后，可通过kubectl access-matrix命令使用rakkess功能。

二进制安装

Linux系统

# 下载最新版本(请替换为最新版本号)
curl -LO https://gitcode.com/gh_mirrors/ra/rakkess/releases/download/v0.5.0/rakkess-amd64-linux.tar.gz

# 解压并安装
tar xf rakkess-amd64-linux.tar.gz rakkess-amd64-linux
chmod +x rakkess-amd64-linux
mv -i rakkess-amd64-linux /usr/local/bin/rakkess

macOS系统

curl -LO https://gitcode.com/gh_mirrors/ra/rakkess/releases/download/v0.5.0/rakkess-amd64-darwin.tar.gz
tar xf rakkess-amd64-darwin.tar.gz rakkess-amd64-darwin
chmod +x rakkess-amd64-darwin
mv -i rakkess-amd64-darwin /usr/local/bin/rakkess

Windows系统

下载安装包：https://gitcode.com/gh_mirrors/ra/rakkess/releases/download/v0.5.0/rakkess-windows-amd64.zip
解压到本地目录
将可执行文件路径添加到系统环境变量PATH

源码编译安装

直接在主机编译

# 克隆仓库
git clone https://gitcode.com/gh_mirrors/ra/rakkess.git
cd rakkess

# 编译(需要Go 1.16+环境)
export PLATFORMS=$(go env GOOS)
make all

# 安装到系统路径
sudo mv out/rakkess-$(go env GOOS)-$(go env GOARCH) /usr/local/bin/rakkess

使用Docker编译

# 创建工作目录
mkdir rakkess && cd rakkess

# 下载Dockerfile
curl -Lo Dockerfile https://gitcode.com/gh_mirrors/ra/rakkess/raw/master/Dockerfile

# 构建镜像并编译
docker build . -t rakkess-builder
docker run --rm -v $PWD:/go/bin/ --env PLATFORMS=$(go env GOOS) rakkess-builder

# 安装二进制文件
sudo mv rakkess-$(go env GOOS)-$(go env GOARCH) /usr/local/bin/rakkess

# 清理构建镜像
docker rmi rakkess-builder

核心功能详解：从权限矩阵到主体查询

功能一：生成用户权限矩阵

rakkess最核心的功能是生成当前用户(或指定用户)对Kubernetes资源的访问权限矩阵。

基本用法

# 集群级权限矩阵(默认)
kubectl access-matrix

# 命名空间级权限矩阵
kubectl access-matrix --namespace default

自定义查询参数

# 指定要检查的操作动词(verbs)
kubectl access-matrix --verbs get,create,update,delete

# 检查其他用户权限
kubectl access-matrix --as other-user

# 检查服务账户权限
kubectl access-matrix --sa kube-system:namespace-controller

# 使用不同的kubeconfig
KUBECONFIG=otherconfig kubectl access-matrix --context other-context

输出示例

NAME                              LIST   CREATE   UPDATE   DELETE
bindings                          ✔      ✖        ✖        ✖
configmaps                        ✔      ✔        ✔        ✔
endpoints                         ✔      ✖        ✖        ✖
events                            ✔      ✖        ✖        ✖
limitranges                       ✔      ✖        ✖        ✖
namespaces                        ✔      ✖        ✖        ✖
nodes                             ✔      ✖        ✖        ✖
persistentvolumeclaims            ✔      ✔        ✔        ✔
persistentvolumes                 ✔      ✖        ✖        ✖
pods                              ✔      ✔        ✔        ✔
podtemplates                      ✔      ✖        ✖        ✖
replicationcontrollers            ✔      ✔        ✔        ✔
resourcequotas                    ✔      ✖        ✖        ✖
secrets                           ✔      ✔        ✔        ✔
serviceaccounts                   ✔      ✔        ✔        ✔
services                          ✔      ✔        ✔        ✔

功能二：反向查询资源授权主体

除了查看用户权限，rakkess还支持反向查询：给定一个资源，找出所有具有访问权限的主体(用户、服务账户、组)。

基本用法

# 集群级资源查询(仅ClusterRoleBindings)
kubectl access-matrix resource configmaps

# 命名空间级资源查询(同时考虑RoleBindings和ClusterRoleBindings)
kubectl access-matrix resource configmaps -n default

# 使用缩写形式
kubectl access-matrix r cm  # 等同于resource configmaps

自定义查询参数

# 指定操作动词
kubectl access-matrix r cm --verbs get,delete,watch,patch

# 查询特定名称的资源权限
kubectl access-matrix r cm ingress-controller-leader-nginx -n ingress-nginx

输出示例

SUBJECT                                  TYPE            SA-NAMESPACE     VERBS
system:masters                           Group                           [*]
system:kube-controller-manager           User                            [*]
system:serviceaccount:kube-system:default ServiceAccount  kube-system      [get list watch create update patch delete]
nginx-ingress-serviceaccount             ServiceAccount  ingress-nginx    [get list watch]

功能三：权限差异比较

rakkess的--diff-with选项允许比较不同用户/上下文/命名空间的权限差异，这对于排查权限变更或多环境权限对比非常有用。

# 比较不同服务账户的权限
kubectl access-matrix --diff-with sa=kube-system:namespace-controller

# 比较不同上下文的权限
kubectl access-matrix --diff-with context=other-context

# 比较不同命名空间的权限
kubectl access-matrix --as somebody -n default --diff-with n=kube-system

差异矩阵中使用特殊符号标记权限变化：

✔：修改后有权限，原配置无权限
✖：修改后无权限，原配置有权限

功能四：处理名称受限角色

某些角色(Role)仅对特定名称的资源生效。rakkess支持查询这些名称受限角色的权限配置：

# 查询特定名称ConfigMap的权限
kubectl access-matrix resource configmap ingress-controller-leader-nginx -n ingress-nginx --verbs=all

这在排查类似"为什么有权限但访问特定资源仍被拒绝"的问题时特别有用。

高级应用场景：从日常运维到安全审计

场景一：服务账户权限审计

当部署新应用时，需要为其创建服务账户(Service Account)并分配适当权限。使用rakkess可以快速验证权限配置是否符合预期：

# 1. 创建服务账户
kubectl create sa my-app -n my-namespace

# 2. 创建角色绑定(假设已定义my-app-role)
kubectl create rolebinding my-app-binding -n my-namespace --role=my-app-role --serviceaccount=my-namespace:my-app

# 3. 验证服务账户权限
kubectl access-matrix --sa my-namespace:my-app -n my-namespace

场景二：多租户环境权限隔离检查

在多租户Kubernetes集群中，确保不同租户间的权限隔离至关重要。rakkess可以帮助验证隔离措施是否有效：

# 检查租户A的服务账户是否能访问租户B的资源
kubectl access-matrix --sa tenant-a:default -n tenant-b --verbs get,list,watch

如果输出结果显示有意外的权限，则表明租户隔离存在漏洞，需要重新检查Role和RoleBinding配置。

场景三：权限最小化实践验证

遵循最小权限原则是Kubernetes安全的最佳实践。rakkess可以帮助验证权限是否真正做到了最小化：

# 保存当前权限矩阵
kubectl access-matrix --verbs all > full-permissions.txt

# 应用最小权限配置后再次检查
kubectl access-matrix --verbs all > restricted-permissions.txt

# 比较差异(需要安装diff工具)
diff full-permissions.txt restricted-permissions.txt

场景四：故障排查中的权限验证

当应用出现"权限被拒绝"错误时，rakkess可以快速定位问题根源：

# 1. 检查应用使用的服务账户
kubectl describe pod <pod-name> -n <namespace> | grep "Service Account"

# 2. 检查该服务账户的权限
kubectl access-matrix --sa <namespace>:<service-account> -n <namespace> --verbs <required-verbs>

# 3. 检查特定资源的权限
kubectl access-matrix resource <resource-type> <resource-name> -n <namespace>

命令参考：完整选项说明

全局选项

选项	缩写	描述
`--as`		要模拟的用户名
`--as-group`		要模拟的组名
`--as-uid`		要模拟的UID
`--cache-dir`		默认缓存目录
`--certificate-authority`		API服务器CA文件路径
`--client-certificate`		TLS客户端证书路径
`--client-key`		TLS客户端密钥路径
`--cluster`		kubeconfig中的集群名称
`--context`		kubeconfig中的上下文名称
`--insecure-skip-tls-verify`		跳过服务器证书验证
`--kubeconfig`		kubeconfig文件路径
`--match-server-version`		要求服务器版本匹配客户端版本
`--namespace`	`-n`	操作的命名空间
`--password`		API服务器的密码
`--request-timeout`		客户端超时时间，默认"0"
`--sa`		要模拟的服务账户，格式为"namespace:name"
`--server`		Kubernetes API服务器地址
`--tls-server-name`		服务器证书的服务器名称
`--token`		认证用的Bearer令牌
`--user`		kubeconfig中的用户名
`--verbosity`	`-v`	日志详细程度，数字越大越详细
`--verbs`		要检查的操作动词，逗号分隔

子命令：resource

用于查询特定资源的授权主体，语法：kubectl access-matrix resource [资源类型] [资源名称] [选项]

选项	缩写	描述
`--namespace`	`-n`	资源所在的命名空间
`--verbs`		要检查的操作动词，逗号分隔

子命令：help

显示帮助信息：kubectl access-matrix help [子命令]

子命令：completion

生成shell自动补全脚本：kubectl access-matrix completion [bash|zsh|fish|powershell]

最佳实践与注意事项

使用建议

定期审计权限：建议每周运行kubectl access-matrix检查集群权限状态，特别是在进行RBAC变更后
自动化权限检查：将rakkess集成到CI/CD流程中，在部署前验证服务账户权限是否符合预期
限制rakkess自身权限：rakkess进行主体权限查询时需要较高权限，建议仅在必要时使用管理员账户运行此类查询
保存输出记录：重要的权限审计结果应保存为文件，以便后续审计或问题排查

常见问题解决

Q: rakkess显示有权限，但实际操作仍提示权限不足？

A: 这可能是因为权限是通过名称受限的角色授予的。使用rakkess resource <资源类型> <资源名称>命令检查特定资源的权限。

Q: 如何处理"Error from server (Forbidden)"错误？

A: 这表明当前用户没有足够权限运行rakkess查询。尝试使用具有更高权限的用户，或联系集群管理员获取必要权限。

Q: rakkess输出中的"✖"和"✔"分别代表什么？

A: "✔"表示有权限，"✖"表示无权限。在差异模式中，"✔"表示修改后新增的权限，"✖"表示修改后失去的权限。

Q: 为什么某些资源在输出中没有显示？

A: rakkess默认只显示核心资源。对于CRD(Custom Resource Definition)，需要确保Kubernetes API服务器已注册这些资源类型。

总结与展望

rakkess作为一款专注于Kubernetes权限可视化的工具，通过直观的矩阵展示和强大的查询能力，极大简化了RBAC权限管理的复杂度。无论是日常运维、安全审计还是故障排查，rakkess都能为Kubernetes管理员和开发者提供有力支持。

随着Kubernetes安全要求的不断提高，权限管理将变得更加重要。未来rakkess可能会增加更多高级功能，如：

与策略引擎(如OPA Gatekeeper)的集成
权限变更的时间线追踪
权限风险评估和建议

掌握rakkess不仅能提高日常工作效率，更能帮助我们建立更安全、更规范的Kubernetes权限管理体系。立即安装rakkess，开始你的Kubernetes权限可视化之旅吧！

附录：常用资源类型缩写

缩写	完整资源类型
cm	configmaps
ds	daemonsets
deploy	deployments
ep	endpoints
ev	events
hpa	horizontalpodautoscalers
ing	ingresses
job	jobs
limits	limitranges
ns	namespaces
no	nodes
pvc	persistentvolumeclaims
pv	persistentvolumes
pod	pods
pdb	poddisruptionbudgets
replicaset	replicasets
rc	replicationcontrollers
quota	resourcequotas
secret	secrets
sa	serviceaccounts
svc	services
sts	statefulsets

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考