24、Helm 安全考量与仓库访问指南

Helm 安全考量与仓库访问指南

1. 验证服务账户权限

为了确认服务账户无法访问其不应访问的资源，例如列出 Deployments，可以运行以下命令：

$ kubectl auth can-i list deployments --as=system:serviceaccount:chapter12:example –n chapter12
no

从输出结果可以看出，对于列出 Deployments 操作返回了 no ，而对于列出 Pods 操作可能返回 yes ，这表明预期的策略已生效。此时，这个服务账户可以被 Helm 图表引用。另外，如果安装图表的用户具有相应的权限，也可以编写 Helm 图表来原生创建 ServiceAccount、Role 和 RoleBinding 资源。

Kubernetes 的基于角色的访问控制（RBAC）能够为 Helm 图表开发者提供实施最小权限访问的工具，保护用户和应用程序免受潜在的错误或恶意操作的影响。

若要清理本次操作，可以使用以下命令删除命名空间并停止 Minikube 集群：

$ kubectl delete ns chapter12
$ minikube stop

2. 访问安全的 Helm 图表仓库

图表仓库允许你发现 Helm 图表并将其安装到 Kubernetes 集群中。大多数图表仓库是开放的，但也提供了一些额外