10、Kubernetes 权限管理与准入控制全解析

Kubernetes 权限管理与准入控制全解析

1. Role-Based Access Control（RBAC）

在 Kubernetes 中，RBAC 是一种强大的授权机制，它允许你精确地控制用户、组和服务账户对集群资源的访问权限。

1.1 ClusterRole 策略

有了 ClusterRole 策略，外部 DNS 控制器可以监控 Service 和 Ingress 资源的添加、修改或删除操作，并相应地采取行动。重要的是，这些控制器无法访问 API 的其他方面。

在使用 RBAC 授予用户访问权限时，务必理解所有潜在影响。始终只授予必要的权限，因为这能显著降低安全风险。同时要明白，某些权限可能会隐式地授予对其他资源的访问权，例如，授予创建 Pod 的权限实际上可能会授予对更敏感相关资源（如 Secrets）的读取权限。

1.2 RoleBinding 和 ClusterRoleBinding

Role 和 ClusterRole 本身并不指定要应用规则的用户或组。为了将策略与用户、组或服务账户关联起来，我们可以使用 RoleBinding 和 ClusterRoleBinding 资源。它们的区别仅在于绑定的是 Role 还是 ClusterRole，其中 RoleBinding 是命名空间级别的。

以下是一个 RoleBinding 的示例：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: web-r