10、深入理解Kubernetes的授权与准入控制

深入理解Kubernetes的授权与准入控制

1. 基于角色的访问控制（RBAC）

在Kubernetes中，RBAC是一种强大的授权机制，它能够帮助我们精细地控制用户、组和服务账户对集群资源的访问权限。

1.1 ClusterRole策略的作用

当配置好ClusterRole策略后，像external - dns控制器这样的组件就能监控Service和Ingress资源的添加、修改和删除操作，并做出相应的响应。而且，这些控制器只能访问特定的API方面，无法触及其他部分，这大大增强了安全性。

例如，以下是一个简单的ClusterRole策略示例，它允许控制器监控Service和Ingress资源：

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: external-dns
rules:
- apiGroups: [""]
  resources: ["services", "ingresses"]
  verbs: ["get", "watch", "list"]

1.2 授予访问权限的注意事项

在使用RBAC授予用户访问权限时，务必充分理解其所有影响。要始终遵循最小权限原则，只给予必要的权限，因为这样可以显著降低安全风险。

同时，要注意某些权限可能会隐含地授予对其他资源的访问权。例如，授予创建Pod的权限实际上可能会赋予对更敏感的相关资源（如Secrets）的读取权限。因为Secrets可能会通