k8s权限管理（RBAC） - ToB企服应用市场:ToB评测及商务社交产业平台

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
name: pod-reader #角色的名称
namespace: dev #名称空间的权限设置
rules:
- apiGroups: [""] #管理的资源组
resources: ["pods"] #具体的资源
verbs: ["get","list"] #具体的操作
#rule只能对于一个名称空间设置权限，

复制代码

#创建证书
##创建私钥
[root@master ~]# openssl genrsa -out devuser.key 2048
##利用私钥创建一个csr(证书请求)文件
openssl req -new -key devuser.key -subj "/CN=devuser" -out devuser.csr
##私钥加上请求文件生成证书
openssl x509 -req -in devuser.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key -CAcreateserial -out devuser.crt -days 365
#生成账号
[root@master ~]# kubectl config set-credentials devuser --client-certificate=./devuser.crt --client-key=./devuser.key --embed-certs=true
User "devuser" set.
#设置上下文参数，这里设置名称空间没有直接的关系，并不是这个用户只能在这个名称空间下面操作，其他的空间也可以，要设置权限
kubectl config set-context devuser@kubernetes --cluster=kubernetes --user=devuser --namespace=dev
#查看上下文
[root@master ~]# kubectl config get-contexts
CURRENT NAME CLUSTER AUTHINFO NAMESPACE
devuser@kubernetes kubernetes devuser dev
* kubernetes-admin@kubernetes kubernetes kubernetes-admin
#切换为创建的用户的上下文环境中
[root@master ~]# kubectl config use-context devuser@kubernetes
Switched to context "devuser@kubernetes".
#发现看不了，因为没有设置这个用户的相关的权限
[root@master ~]# kubectl get pod -n dev
Error from server (Forbidden): pods is forbidden: User "devuser" cannot list resource "pods" in API group "" in the namespace "dev"
#对账号进行授权，先切换回来
kubectl config use-context kubernetes-admin@kubernetes
#授权文件
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
name: devuser-role
namespace: dev
rules:
- apiGroups: ["*"]
resources: ["pods"]
verbs: ["list"] #这里只设置了list这个权限，就是查看名称空间下面的所有资源
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: devuser-rolebinding
namespace: dev
subjects:
- kind: User
name: devuser
apiGroup: rbac.authorization.k8s.io
roleRef:
kind: Role
name: devuser-role
apiGroup: rbac.authorization.k8s.io
[root@master role]# kubectl create -f devuser.yaml
role.rbac.authorization.k8s.io/devuser-role created
rolebinding.rbac.authorization.k8s.io/devuser-rolebinding created
#切换到创建的新用户上面，切换上下文件环境
#发现只有获取这个名称空间下面资源的权限，其余的权限都没有赋予
[root@master role]# kubectl config use-context devuser@kubernetes
Switched to context "devuser@kubernetes".
[root@master role]# kubectl get pod -n dev
NAME READY STATUS RESTARTS AGE
centos 1/1 Running 0 21h
[root@master role]# kubectl delete pod -n dev centos
Error from server (Forbidden): pods "centos" is forbidden: User "devuser" cannot delete resource "pods" in API group "" in the namespace "dev"

复制代码

[/code][size=4]3、账户相关的操作[/size]
[code]#查看上下文
[root@master ~]# kubectl config get-contexts
CURRENT NAME CLUSTER AUTHINFO NAMESPACE
devuser@kubernetes kubernetes devuser dev
* kubernetes-admin@kubernetes kubernetes kubernetes-admin
#查看用户相关的权限，查看绑定的相关
[root@master ~]# kubectl get rolebindings --all-namespaces | grep devuser
[root@master ~]# kubectl get clusterrolebindings | grep devuser

复制代码

#Role,ClusterRole Verbs可以配置参数,定义的是操作
* 包含所有的
get --- 读取单个资源的详细信息，kubectl get pod my-pod -o yaml
list --- 列出这个名称空间下面的所有资源,kubectl get pods
watch --- 用于监视资源的变化事件(添加，删除，更新),kubectl get pods --watch
create --- 创建新的资源实例,kubectl create -f pod.yaml
update --- 用于更新现有的配置信息,kubectl apply -f pod.yaml
patch --- 更新部分现有的数据,kubectl patch pod my-pod -p '{"spec":{"containers":[{"name":"my-container","image":"my-new-image"}]}}'
delete --- 删除数据,kubectl delete pod my-pod
exec --- 在容器内执行命令,kubectl exec -it my-pod -- /bin/bash

复制代码

* 包含所有的资源类型
“services”, “endpoints”, “pods”,“secrets”,“configmaps”,“crontabs”,“deployments”,“jobs”,“nodes”,“rolebindings”,“clusterroles”,“daemonsets”,“replicasets”,“statefulsets”,“horizontalpodautoscalers”,“replicationcontrollers”,“cronjobs”

复制代码

#定义的是api资源，不同的类型
"*" --- 核心api组,pods,service,endpoint,namespace,nodes等
"apps" --- 控制器资源,deployments,daemonsets,statefulsets,replicasets等
"autoscaling" --- API 组包含用于自动调整工作负载规模的资源，horizontalpodautoscalers (HPA)
"batch" --- API 组包含用于批处理任务的资源，jobs: 一次性任务，确保一个或多个 Pods 成功完成。
cronjobs: 基于时间调度的作业。

复制代码

subjects:
- kind: ServiceAccount #认证账户，服务账户，还有别的参数User
name: mark #名字
namespace: default #名称空间

复制代码

roleRef: #绑定角色的方式
kind: ClusterRole #集群角色绑定
name: pod-clusterrole #角色的名字
apiGroup: rbac.authorization.k8s.io #api 资源类型

复制代码