34、Kubernetes权限发现、审计与集群部署全解析

Kubernetes权限发现、审计与集群部署全解析

1. 利用插件发现和审计权限

在保障集群安全方面，为用户使用服务账户是一种简单的方法，但它存在一定局限性。更理想的做法是使用OpenID Connect（OIDC）进行身份验证，并将基于角色的访问控制（RBAC）规则绑定到OIDC的用户名和组声明上。

当身份验证系统搭建完成且RBAC规则设置好后，仍面临权限审计工具不足的问题。Kubernetes本身没有完善的权限审计工具，因此可以借助第三方插件来完成权限验证。

1.1 kubectl插件系统

kubectl的 can-i 命令可用于检查用户是否能执行某项功能，但功能有限。kubectl有插件系统来支持额外命令，以满足不同的RBAC查询需求。添加kubectl插件的最佳方式是使用插件管理器Krew。

以下是使用Krew安装和使用插件的步骤：
1. 启动Krew Pod并连接以安装和使用 who-can 插件：

# 运行已安装kubectl和Krew的Pod
kubectl apply -f rbac-tools/
# 等待Pod就绪
kubectl wait --for=condition=ContainersReady pod -l app=rbac-tools
# 连接到容器
kubectl exec -it deploy/rbac-tools -- sh
# 安装who-can插件
kubectl krew install who-can
# 列出有权访问todo-list Confi