22、Helm与Operator框架的使用及安全考量

Helm与Operator框架的使用及安全考量

1. Helm Chart安装Guestbook CRD及相关操作

Helm Chart安装时，会先安装Guestbook CRD。若集群中已存在该CRD，则跳过创建步骤，直接安装模板。不过，在Helm Chart中包含CRD存在一些限制：
- Helm不允许CRD包含任何Go模板，因此与典型资源不同，CRD无法从参数化中受益。
- CRD不能进行升级、回滚或删除操作。
- 在Chart中包含CRD要求用户在Kubernetes集群中具有提升的集群级权限。通常由管理员执行Operator安装，所以这可能是一种可接受的方法。

为了让最终用户能够创建部署Guestbook应用程序的CR，可以创建一个单独的Helm Chart用于模板化Guestbook CR。示例文件结构如下：

guestbook/
  Chart.yaml
  templates/
    Guestbook.yaml
  values.yaml

与CRD不同， templates/ 文件夹下的CR和其他资源一样，可从Go模板和生命周期管理中受益。当CR包含复杂字段或需要与其他资源一起安装时，这种方法最有价值。同时，还可以使用此方法管理CR的生命周期并维护修订历史记录。

不过，用户需要被授予安装Guestbook CR的权限，因为Kubernetes默认不包含此权限。可以通过应用Operator的 config/rbac/ 文件夹下的 guestbook_editor_role.yaml