Список ролей полномочий: Как понять каких полномочий не хватает пользователю?

Локальная или кластерная роль с таким правилом позволяет субъектам, связанным с ней, с помощью привязка ролей или кластера привязка ролей для использования определяемого пользователем SCC, называемого myPermittingSCC .

Общие сведения о предварительно назначенных значениях и ограничениях контекста безопасности

Контроллер доступа осведомлен об определенных условиях в контексте безопасности. ограничения, которые запускают поиск заранее выделенных значений из пространства имен и заполните ограничение контекста безопасности перед обработкой модуля.Каждый SCC стратегия оценивается независимо от других стратегий с заранее выделенными значения (где разрешено) для каждой политики, агрегированные со значениями спецификации модуля чтобы получить окончательные значения для различных идентификаторов, определенных в работающем модуле.

Следующие SCC заставляют контроллер доступа искать заранее выделенные значения, когда в спецификации модуля не определены диапазоны:

1. A RunAsUser стратегия MustRunAsRange без минимального или максимального набора.При приеме необходимо заполнить аннотацию openshift.io/sa.scc.uid-range . поля диапазона.

2. Стратегия SELinuxContext для MustRunAs без установленного уровня. Допуск ищет аннотацию openshift.io/sa.scc.mcs для заполнения уровня.

3. A FSGroup стратегия MustRunAs . Прием ищет openshift.io/sa.scc.supplemental-groups аннотация.

4. A SupplementalGroups стратегия MustRunAs .Прием ищет openshift.io/sa.scc.supplemental-groups аннотация.

На этапе генерации провайдер контекста безопасности по умолчанию значения, которые специально не установлены в модуле. Значение по умолчанию основано на используемая стратегия:

1. RunAsAny и MustRunAsNonRoot стратегии не обеспечивают значение по умолчанию значения. Таким образом, если для модуля требуется определенное поле (например, идентификатор группы), этот Поле должно быть определено в спецификации модуля.

2. MustRunAs (одно значение) стратегии предоставляют значение по умолчанию, которое всегда использовал. Например, для идентификаторов групп: даже если спецификация модуля определяет его собственное значение идентификатора, поле пространства имен по умолчанию также появится в модуле группы.

3. MustRunAsRange и MustRunAs (на основе диапазона) стратегии обеспечивают минимальное значение диапазона. Как и в случае стратегии с одним значением MustRunAs , значение по умолчанию для пространства имен появится в работающем модуле.Если на основе диапазона стратегия настраивается с несколькими диапазонами, она предоставит минимальное значение первого настроенного диапазона.

Использование авторизации RBAC | Kubernetes

Контроль доступа на основе ролей (RBAC) - это метод регулирования доступа к компьютеру или сетевые ресурсы на основе ролей отдельных пользователей в вашей организации.

авторизация RBAC использует rbac.authorization.k8s.io Группа API для авторизации решения, позволяющие динамически настраивать политики через Kubernetes API.

Чтобы включить RBAC, запустите сервер API с флагом --authorization-mode , установленным в список, разделенный запятыми, который включает RBAC ; например:

  kube-apiserver --authorization-mode = Пример, RBAC --other-options --more-options
  

Объекты API

RBAC API объявляет четыре типа объекта Kubernetes: Role , ClusterRole , RoleBinding и ClusterRoleBinding .Ты можешь описывать объекты, или исправьте их, используя такие инструменты, как kubectl, , как и любой другой объект Kubernetes.

Роль и ClusterRole

Роль RBAC или ClusterRole содержит правила, представляющие набор разрешений. Разрешения чисто аддитивные (нет правил запрета).

Роль всегда устанавливает разрешения в определенном пространстве имен; при создании роли необходимо указать пространство имен, которому она принадлежит.

ClusterRole, напротив, не является ресурсом без пространства имен.Ресурсы имеют разные названия (Роль и ClusterRole), потому что объект Kubernetes всегда должен быть либо в пространстве имен, либо без него; не может быть и того, и другого.

ClusterRoles имеет несколько применений. Вы можете использовать ClusterRole для:

1. определения разрешений на ресурсы с пространством имен и предоставления в пределах отдельных пространств имен
2. определения разрешений на ресурсы с пространством имен и предоставления во всех пространствах имен
3. определения разрешений на ресурсы с областью имен

вы хотите определить роль в пространстве имен, используйте Role; если вы хотите определить роль для всего кластера используйте ClusterRole.

Пример роли

Вот пример Роль в пространстве имен «по умолчанию», которую можно использовать для предоставления доступа на чтение к pods:

  apiVersion: rbac.authorization.k8s.io/v1
kind: Роль
метаданные:
  пространство имен: по умолчанию
  имя: pod-reader
правила:
- apiGroups: [""] # "" указывает основную группу API
  ресурсы: ["стручки"]
  глаголы: ["получить", "посмотреть", "список"]
  

Пример ClusterRole

ClusterRole может использоваться для предоставления тех же разрешений, что и роль. Поскольку роли ClusterRoles относятся к кластеру, вы также можете использовать их для предоставления доступа к:

• ресурсам в кластере (например, узлам)

• конечным точкам без ресурсов (например, / healthz )

• ресурсам с пространством имен (например, Pods), во всех пространствах имен

  Например: вы можете использовать ClusterRole, чтобы разрешить конкретному пользователю запускать kubectl get pods --all-namespaces

Вот пример ClusterRole, который можно использовать для предоставления доступа на чтение к секреты в любом конкретном пространстве имен, или во всех пространствах имен (в зависимости от того, как они связаны):

  apiVersion: rbac.authorization.k8s.io/v1
вид: ClusterRole
метаданные:
  # "namespace" опущено, поскольку ClusterRoles не имеет пространства имен
  имя: секрет-читатель
правила:
- apiGroups: [""]
  #
  # на уровне HTTP имя ресурса для доступа к Secret
  # объект "секреты"
  ресурсы: ["секреты"]
  глаголы: ["получить", "посмотреть", "список"]
  

Имя роли или объекта ClusterRole должно быть допустимым. имя сегмента пути.

RoleBinding и ClusterRoleBinding

Привязка роли предоставляет пользователю или группе пользователей разрешения, определенные в роли.Он содержит список из субъектов (пользователи, группы или учетные записи служб) и ссылку на роль предоставляется. RoleBinding предоставляет разрешения в определенном пространстве имен, тогда как ClusterRoleBinding предоставляет доступ к кластеру.

RoleBinding может ссылаться на любую роль в том же пространстве имен. В качестве альтернативы RoleBinding может ссылаться на ClusterRole и связывать эту ClusterRole с пространством имен RoleBinding. Если вы хотите привязать ClusterRole ко всем пространствам имен в вашем кластере, вы используете ClusterRoleBinding.

Имя объекта RoleBinding или ClusterRoleBinding должно быть допустимым. имя сегмента пути.

Примеры RoleBinding

Вот пример RoleBinding, который предоставляет роль «pod-reader» пользователю «jane». в пространстве имен "по умолчанию". Это позволяет «Джейн» читать модули в пространстве имен «по умолчанию».

  apiVersion: rbac.authorization.k8s.io/v1
# Эта привязка роли позволяет "jane" читать модули в пространстве имен "default".
# У вас уже должна быть роль с именем "pod-reader" в этом пространстве имен.вид: RoleBinding
метаданные:
  имя: стручки чтения
  пространство имен: по умолчанию
предметы:
# Вы можете указать более одного "предмета"
- вид: Пользователь
  name: jane # "name" чувствительно к регистру
  apiGroup: rbac.authorization.k8s.io
roleRef:
  # "roleRef" указывает привязку к роли / роли кластера
  kind: Role # это должна быть Role или ClusterRole
  name: pod-reader # это должно совпадать с именем роли или ClusterRole, к которой вы хотите привязать
  apiGroup: rbac.authorization.k8s.io
  

RoleBinding может также ссылаться на ClusterRole для предоставления разрешений, определенных в этом ClusterRole к ресурсам внутри пространства имен RoleBinding.Такая ссылка позволяет определить набор общих ролей в кластере, а затем повторно использовать их в несколько пространств имен.

Например, даже если следующее RoleBinding относится к ClusterRole, "dave" (субъект, чувствительный к регистру) сможет читать "Секреты" только в "development" пространство имен, потому что пространство имен RoleBinding (в его метаданных) - «разработка».

  apiVersion: rbac.authorization.k8s.io/v1
# Эта привязка роли позволяет «dave» читать секреты в пространстве имен «development».# У вас уже должна быть ClusterRole с именем "secret-reader".
вид: RoleBinding
метаданные:
  name: секреты чтения
  #
  # Пространство имен RoleBinding определяет, где предоставляются разрешения.
  # Это дает разрешения только в пространстве имен "разработка".
  пространство имен: разработка
предметы:
- вид: Пользователь
  name: dave # Имя чувствительно к регистру
  apiGroup: rbac.authorization.k8s.io
roleRef:
  вид: ClusterRole
  имя: секрет-читатель
  apiGroup: rbac.authorization.k8s.io
  

Пример ClusterRoleBinding

Чтобы предоставить разрешения для всего кластера, вы можете использовать ClusterRoleBinding.Следующая ClusterRoleBinding позволяет любому пользователю в группе «менеджер» читать секреты в любом пространстве имен.

  apiVersion: rbac.authorization.k8s.io/v1
# Эта привязка роли кластера позволяет любому члену группы «менеджер» читать секреты в любом пространстве имен.
вид: ClusterRoleBinding
метаданные:
  имя: секреты чтения глобальный
предметы:
- вид: Группа
  name: manager # Имя чувствительно к регистру
  apiGroup: rbac.authorization.k8s.io
roleRef:
  вид: ClusterRole
  имя: секрет-читатель
  apiGroup: rbac.authorization.k8s.io
  

После создания привязки нельзя изменить роль или роль кластера, на которую она ссылается. Если вы попытаетесь изменить привязку roleRef , вы получите ошибку проверки. Если ты хочешь чтобы изменить роль roleRef для привязки, необходимо удалить объект привязки и создать замена.

Это ограничение вызвано двумя причинами:

1. Создание неизменяемой roleRef позволяет предоставить кому-либо разрешение на обновление для существующей привязки. объект, чтобы они могли управлять списком субъектов, не имея возможности изменять роль, которая отводится этим предметам.
2. Привязка к другой роли - это принципиально иная привязка. Требование удаления / воссоздания привязки для изменения роли Ссылка гарантирует, что полный список предметов в привязке предназначен для предоставления новая роль (в отличие от включения или случайного изменения только roleRef без проверки всем существующим субъектам следует дать новую роль разрешения).

Утилита командной строки kubectl auth reconcile создает или обновляет файл манифеста, содержащий объекты RBAC, и обрабатывает удаление и воссоздание объектов привязки, если это необходимо для изменения роли, на которую они ссылаются.См. Использование команд и примеры для получения дополнительной информации.

Обращение к ресурсам

В Kubernetes API большинство ресурсов представлено и доступно с помощью строкового представления имя их объекта, например pod для Pod. RBAC относится к ресурсам, использующим точно такие же имя, которое отображается в URL-адресе соответствующей конечной точки API. Некоторые API Kubernetes включают подресурс , например журналы для Pod. Запрос журналов модуля выглядит так:

  GET / api / v1 / namespaces / {namespace} / pods / {name} / log.
  

В этом случае pod - это ресурс с пространством имен для ресурсов Pod, а журнал - это подресурс pod .Чтобы представить это в роли RBAC, используйте косую черту (/) для разграничить ресурс и подресурс. Разрешить субъекту читать под и также обращайтесь к подресурсу log для каждого из этих модулей, вы пишете:

  apiVersion: rbac.authorization.k8s.io/v1
kind: Роль
метаданные:
  пространство имен: по умолчанию
  имя: pod-and-pod-logs-reader
правила:
- apiGroups: [""]
  ресурсы: ["блоки", "блоки / журнал"]
  глаголы: ["получить", "список"]
  

Вы также можете ссылаться на ресурсы по имени для определенных запросов через список resourceNames .Если указано, запросы могут быть ограничены отдельными экземплярами ресурса. Вот пример, который ограничивает его предмет только получить или обновить a ConfigMap с именем my-configmap :

  apiVersion: rbac.authorization.k8s.io/v1
kind: Роль
метаданные:
  пространство имен: по умолчанию
  имя: configmap-updater
правила:
- apiGroups: [""]
  #
  # на уровне HTTP имя ресурса для доступа к ConfigMap
  # объект "configmaps"
  ресурсы: ["configmaps"]
  resourceNames: ["my-configmap"]
  глаголы: ["обновить", "получить"]
  

Примечание: Вы не можете ограничить запросы create или deletecollection по resourceName.Для создайте , это ограничение связано с тем, что имя объекта неизвестно во время авторизации.

Агрегированные роли кластера

Можно агрегировать нескольких ролей кластера в одну объединенную роль кластера. Контроллер, работающий как часть плоскости управления кластером, наблюдает за ClusterRole. объекты с набором aggregationRule . Правило агрегации определяет метку. селектор, что контроллер используется для сопоставления с другими объектами ClusterRole, которые должны быть объединены в правила поле этого.

Вот пример агрегированной роли ClusterRole:

  apiVersion: rbac.authorization.k8s.io/v1
вид: ClusterRole
метаданные:
  имя: мониторинг
aggregationRule:
  clusterRoleSelectors:
  - matchLabels:
      rbac.example.com/aggregate-to-monitoring: "правда"
rules: [] # Уровень управления автоматически заполняет правила
  

Если вы создаете новую ClusterRole, которая соответствует селектору меток существующей агрегированной ClusterRole, это изменение запускает добавление новых правил в агрегированную ClusterRole.Вот пример, который добавляет правила к «контролирующей» ClusterRole, создавая еще одну ClusterRole с меткой rbac.example.com/aggregate-to-monitoring: true .

  apiVersion: rbac.authorization.k8s.io/v1
вид: ClusterRole
метаданные:
  имя: конечные точки мониторинга
  ярлыки:
    rbac.example.com/aggregate-to-monitoring: "правда"
# При создании ClusterRole "конечных точек мониторинга",
# приведенные ниже правила будут добавлены в ClusterRole "мониторинг".
правила:
- apiGroups: [""]
  ресурсы: ["службы", "конечные точки", "модули"]
  глаголы: ["получить", "список", "смотреть"]
  

Пользовательские роли по умолчанию используют агрегацию ClusterRole.Это позволяет вам, как администратор кластера, включите правила для настраиваемых ресурсов, например, обслуживаемых CustomResourceDefinitions или агрегированные серверы API, чтобы расширить роли по умолчанию.

Например: следующие ClusterRoles позволяют ролям "admin" и "edit" по умолчанию управлять настраиваемым ресурсом. с именем CronTab, тогда как роль «просмотра» может выполнять только действия чтения на ресурсах CronTab. Вы можете предположить, что объекты CronTab названы "crontabs" в URL-адресах, видимых сервером API.

  apiVersion: rbac.authorization.k8s.io/v1
вид: ClusterRole
метаданные:
  имя: агрегат-cron-вкладки-редактировать
  ярлыки:
    # Добавьте эти разрешения к ролям по умолчанию "admin" и "edit".
    rbac.authorization.k8s.io/aggregate-to-admin: "правда"
    rbac.authorization.k8s.io/aggregate-to-edit: "правда"
правила:
- apiGroups: ["stable.example.com"]
  ресурсы: ["crontabs"]
  глаголы: ["получить", "список", "смотреть", "создать", "обновить", "патч", "удалить"]
---
вид: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
метаданные:
  имя: агрегат-cron-tabs-view
  ярлыки:
    # Добавьте эти разрешения к роли по умолчанию "просмотр".
    rbac.authorization.k8s.io/aggregate-to-view: "правда"
правила:
- apiGroups: ["stable.example.com"]
  ресурсы: ["crontabs"]
  глаголы: ["получить", "список", "смотреть"]
  

Примеры ролей

Следующие ниже примеры представляют собой выдержки из объектов Role или ClusterRole, показывающие только раздел правил .

Разрешить чтение «подов» ресурсов в ядре Группа API:

  правила:
- apiGroups: [""]
  #
  # на уровне HTTP имя ресурса для доступа к Pod
  # объект "капсулы"
  ресурсы: ["стручки"]
  глаголы: ["получить", "список", "смотреть"]
  

Разрешить чтение / запись Развертывания (на уровне HTTP: объекты с «развертываниями» в ресурсной части своего URL-адреса) в "расширениях" и "приложениях" группы API:

  правила:
- apiGroups: ["расширения", "приложения"]
  #
  # на уровне HTTP имя ресурса для доступа к Deployment
  # объект "развертывания"
  ресурсы: ["развертывания"]
  глаголы: ["получить", "список", "смотреть", "создать", "обновить", "патч", "удалить"]
  

Разрешить чтение модулей в основной группе API, а также чтение или запись задания ресурсы в «партии» или «расширениях» Группы API:

  правила:
- apiGroups: [""]
  #
  # на уровне HTTP имя ресурса для доступа к Pod
  # объект "капсулы"
  ресурсы: ["стручки"]
  глаголы: ["получить", "список", "смотреть"]
- apiGroups: ["пакет", "расширения"]
  #
  # на уровне HTTP имя ресурса для доступа к Job
  # объект "вакансии"
  ресурсы: ["вакансии"]
  глаголы: ["получить", "список", "смотреть", "создать", "обновить", "патч", "удалить"]
  

Разрешить чтение ConfigMap с именем "my-config" (должен быть связан с RoleBinding для ограничения одной ConfigMap в одном пространстве имен):

  правила:
- apiGroups: [""]
  #
  # на уровне HTTP имя ресурса для доступа к ConfigMap
  # объект "configmaps"
  ресурсы: ["configmaps"]
  resourceNames: ["my-config"]
  глаголы: ["получить"]
  

Разрешить чтение ресурса «узлов» в основной группе (поскольку Узел имеет кластерную область видимости, он должен быть в ClusterRole, привязанном к ClusterRoleBinding):

  правила:
- apiGroups: [""]
  #
  # на уровне HTTP имя ресурса для доступа к Node
  # объект - это «узлы»
  ресурсы: ["узлы"]
  глаголы: ["получить", "список", "смотреть"]
  

Разрешить запросы GET и POST к конечной точке без ресурсов / healthz и все подпути (должны быть в ClusterRole, привязанном к ClusterRoleBinding для вступления в силу):

  правила:
- nonResourceURLs: ["/ healthz", "/ healthz / *"] # '*' в nonResourceURL - это совпадение с суффиксом glob
  глаголы: ["получить", "опубликовать"]
  

Обращение к субъектам

RoleBinding или ClusterRoleBinding связывает роль с субъектами.Субъектами могут быть группы, пользователи или ServiceAccounts.

Kubernetes представляет имена пользователей в виде строк. Это могут быть: простые имена, такие как «алиса»; имена в стиле электронной почты, например "[email protected]"; или числовые идентификаторы пользователей, представленные в виде строки. Это зависит от вас как администратора кластера для настройки модулей аутентификации так что аутентификация производит имена пользователей в желаемом формате.

Внимание: Префикс system: зарезервирован для использования системой Kubernetes, поэтому вы должны убедиться, что что у вас нет пользователей или групп с именами, начинающимися с system: by несчастный случай.Кроме этого специального префикса, система авторизации RBAC не требует никакого формата для имен пользователей.

В Kubernetes модули Authenticator предоставляют информацию о группах. Группы, как и пользователи, представлены в виде строк, и эта строка не имеет требований к формату. кроме этого префикс system: зарезервирован.

ServiceAccounts имеют имена с префиксом с system: serviceaccount: и принадлежат к группам, имена которых имеют префикс system: serviceaccounts: .

Примечание:

• system: serviceaccount: (единственное число) - это префикс для имен пользователей сервисных учетных записей.
• система: serviceaccounts: (множественное число) - это префикс для групп учетных записей служб.

Примеры RoleBinding

Следующие примеры представляют собой фрагменты RoleBinding , которые только показать предмет раздел.

Для пользователя с именем [email protected] :

  тем:
- вид: Пользователь
  name: "alice @ example.com "
  apiGroup: rbac.authorization.k8s.io
  

Для группы с именем frontend-admins :

  субъектов:
- вид: Группа
  имя: "фронтенд-админы"
  apiGroup: rbac.authorization.k8s.io
  

Для учетной записи службы по умолчанию в пространстве имен «kube-system»:

  субъектов:
- вид: ServiceAccount
  имя: по умолчанию
  пространство имен: kube-system
  

Для всех учетных записей служб в группе «qa» в любом пространстве имен:

  субъектов:
- вид: Группа
  имя: система: serviceaccounts: qa
  apiGroup: rbac.authorization.k8s.io
  

Для всех учетных записей служб в группе «dev» в пространстве имен «разработка»:

  субъектов:
- вид: Группа
  имя: система: сервисаккаунты: разработчик
  apiGroup: rbac.authorization.k8s.io
  пространство имен: разработка
  

Для всех учетных записей служб в любом пространстве имен:

  субъектов:
- вид: Группа
  имя: система: serviceaccounts
  apiGroup: rbac.authorization.k8s.io
  

Для всех авторизованных пользователей:

  субъектов:
- вид: Группа
  имя: система: аутентифицирован
  apiGroup: rbac.authorization.k8s.io
  

Для всех пользователей, не прошедших аутентификацию:

  субъектов:
- вид: Группа
  имя: система: не аутентифицировано
  apiGroup: rbac.authorization.k8s.io
  

Для всех пользователей:

  тем:
- вид: Группа
  имя: система: аутентифицирован
  apiGroup: rbac.authorization.k8s.io
- вид: Группа
  имя: система: не аутентифицировано
  apiGroup: rbac.authorization.k8s.io
  

Роли по умолчанию и привязки ролей

Серверы API создают набор объектов ClusterRole и ClusterRoleBinding по умолчанию.Многие из них относятся к системе : с префиксом , что указывает на то, что ресурс напрямую управляется плоскостью управления кластером. Все роли ClusterRoles и ClusterRoleBindings по умолчанию помечены как kubernetes.io/bootstrapping=rbac-defaults .

Внимание: Будьте осторожны при изменении ClusterRoles и ClusterRoleBindings с именами которые имеют систему : префикс . Изменения в этих ресурсах могут привести к нефункциональным кластерам.

Автоматическое согласование

При каждом запуске сервер API обновляет роли кластера по умолчанию с любыми недостающими разрешениями, и обновляет привязки ролей кластера по умолчанию с любыми недостающими субъектами.Это позволяет кластеру исправлять случайные изменения и помогает сохранить роли и привязки ролей. актуальна по мере изменения разрешений и тем в новых выпусках Kubernetes.

Чтобы отказаться от этого согласования, установите rbac.authorization.kubernetes.io/autoupdate аннотация роли кластера по умолчанию или привязка роли к false . Имейте в виду, что отсутствие разрешений и субъектов по умолчанию может привести к нефункциональным кластерам.

Автоматическое согласование включено по умолчанию, если активен авторизатор RBAC.

Роли обнаружения API

Привязки ролей по умолчанию разрешают неаутентифицированным и аутентифицированным пользователям читать информацию API, которая считается безопасной для публичного доступа (включая CustomResourceDefinitions). Чтобы отключить анонимный доступ без аутентификации, добавьте --anonymous-auth = false в конфигурацию сервера API.

Чтобы просмотреть конфигурацию этих ролей через kubectl , запустите:

  kubectl get clusterroles system: discovery -o yaml
  

Примечание: Если вы измените эту роль ClusterRole, ваши изменения будут перезаписаны при перезапуске сервера API. через автоматическое согласование.Чтобы избежать перезаписи, либо не редактируйте роль вручную, либо отключите автосогласование.

Роли обнаружения Kubernetes RBAC API

ClusterRole по умолчанию	ClusterRoleBinding по умолчанию	Описание
система: аутентифицированный	6	3					3 903 доступ только для чтения к основной информации о себе. До v1.14, эта роль также была привязана к системе: по умолчанию не аутентифицирована.
система: обнаружение	система: аутентифицированная группа	Разрешает доступ только для чтения к конечным точкам обнаружения API, необходимым для обнаружения и согласования уровня API. До версии 1.14 эта роль также была привязана к системе: по умолчанию не аутентифицирована.
система: public-info-viewer	система: аутентифицирована и система: не аутентифицирована группы	Разрешает доступ только для чтения к несекретной информации о кластере.Представлено в Kubernetes v1.14.

Роли, ориентированные на пользователя

Некоторые из ролей ClusterRoles по умолчанию не являются системными : с префиксом . Это роли, ориентированные на пользователя. Они включают роли суперпользователя ( администратор кластера ), роли, предназначенные для предоставления в масштабе всего кластера. используя ClusterRoleBindings, и роли, предназначенные для предоставления в определенных пространства имен с использованием RoleBindings ( admin , edit , view ).

Пользовательские роли ClusterRoles используют агрегацию ClusterRole, чтобы администраторы могли включать правила для настраиваемых ресурсов в этих ClusterRoles.Чтобы добавить правила к admin , edit или view ролям, создайте ClusterRole с одной или несколькими из следующих меток:

  метаданные:
  ярлыки:
    rbac.authorization.k8s.io/aggregate-to-admin: "правда"
    rbac.authorization.k8s.io/aggregate-to-edit: "правда"
    rbac.authorization.k8s.io/aggregate-to-view: "правда"
  

ClusterRole по умолчанию	ClusterRoleBinding по умолчанию	Описание
cluster-admin	system: masters действие super-	3 Разрешает доступ любой группе	3 для любой группы ресурс.При использовании в ClusterRoleBinding он дает полный контроль над каждым ресурсом в кластере и во всех пространствах имен. При использовании в RoleBinding он дает полный контроль над каждым ресурсом в пространстве имен привязки ролей, включая само пространство имен.
admin	Нет	Разрешает доступ администратора, предназначенный для предоставления в пространстве имен с помощью RoleBinding . Если используется в RoleBinding , разрешает доступ для чтения / записи к большинству ресурсов в пространстве имен, включая возможность создавать роли и привязки ролей в пространстве имен.Эта роль не разрешает доступ на запись к квоте ресурсов или к самому пространству имен.
редактировать	Нет	Разрешает доступ для чтения / записи к большинству объектов в пространстве имен. Эта роль не позволяет просматривать или изменять роли или привязки ролей. Однако эта роль позволяет получать доступ к секретам и запускать модули от имени любого ServiceAccount в пространство имен, поэтому его можно использовать для получения уровней доступа API любого ServiceAccount в пространство имен.
вид	Нет	Разрешает доступ только для чтения для просмотра большинства объектов в пространстве имен.Он не позволяет просматривать роли или привязки ролей. Эта роль не позволяет просматривать Секреты, так как чтение содержимое секретов обеспечивает доступ к учетным данным ServiceAccount в пространстве имен, что позволит получить доступ к API как любой ServiceAccount в пространстве имен (форма повышения привилегий).

Роли основных компонентов

ClusterRole по умолчанию	ClusterRoleBinding по умолчанию	Описание
система пользователя: kube-	система планировщика: kube-		Разрешает доступ к ресурсам, необходимым для компонента планировщика.
system: volume-scheduler	system: kube-scheduler user	Разрешает доступ к ресурсам тома, необходимым для компонента kube-scheduler.
system: kube-controller-manager	system: kube-controller-manager user	Разрешает доступ к ресурсам, необходимым для компонента диспетчера контроллеров. Разрешения, необходимые для отдельных контроллеров, подробно описаны в ролях контроллера.
система: узел	Нет	Разрешает доступ к ресурсам, необходимым для кублета, , включая доступ для чтения ко всем секретам и доступ для записи ко всем объектам статуса модуля . Вы должны использовать авторизатор узлов и подключаемый модуль допуска NodeRestriction вместо роли system: node и разрешить предоставление доступа API к кубелетам на основе запланированных на них подов. Роль система: узел существует только для совместимости с кластерами Kubernetes, обновленными с версий до v1.8.
system: node-proxier	system: kube-proxy user	Разрешает доступ к ресурсам, необходимым для компонента kube-proxy.

Другие роли компонентов

ClusterRole по умолчанию	ClusterRoleBinding по умолчанию	Описание
аутентификация делегат проверяет	делегат		авторизация	делегирует	Это обычно используется дополнительными серверами API для унифицированной аутентификации и авторизации.
система: heapster	Нет	Роль для компонента Heapster (не рекомендуется).
система: kube-aggregator	Нет	Роль для компонента kube-aggregator.
system: kube-dns	kube-dns служебная учетная запись в пространстве имен kube-system	Роль для компонента kube-dns.
система: kubelet-api-admin	Нет	Разрешает полный доступ к API kubelet.
система: узел-загрузчик	Нет	Разрешает доступ к ресурсам, необходимым для выполнения kubelet самозагрузка TLS.
система: детектор проблем узлов	Нет	Роль для компонента детектора проблем узлов.
system: persistent-volume-provisioner	Нет	Разрешает доступ к ресурсам, необходимым большинству динамических инициализаторов томов.
система: мониторинг	система: мониторинг группа	Разрешает доступ для чтения к конечным точкам мониторинга уровня управления (т.е. конечным точкам активности и готовности kube-apiserver (/ healthz, / livez, / readyz), индивидуальным конечные точки проверки работоспособности (/ healthz / *, / livez / *, / readyz / *) и / metrics). Обратите внимание, что отдельные конечные точки проверки работоспособности и конечная точка метрики могут предоставлять конфиденциальную информацию.

Роли для встроенных контроллеров

Запускается диспетчер контроллеров Kubernetes контроллеры, встроенные в Kubernetes Плоскость управления.При вызове с --use-service-account-credentials kube-controller-manager запускает каждый контроллер используя отдельную учетную запись службы. Для каждого встроенного контроллера существуют соответствующие роли с префиксом system: controller: . Если диспетчер контроллеров не запущен с --use-service-account-credentials , он запускает все контуры управления. используя свои собственные учетные данные, которым должны быть предоставлены все соответствующие роли. Эти роли включают:

• system: controller: attachdetach-controller
• system: controller: certificate-controller
• system: controller: clusterrole-aggregation-controller
• system: controller: cronjob-controller
• system: controller: daemon-set-controller
• system: controller: deployment-controller
• system: controller: disruption-controller
• система: контроллер: конечный контроллер
• system: controller: expand-controller
• system: controller: generic-garbage-collector
• system: controller: horizontal-pod-autoscaler
• system: controller: job-controller
• система: controller: namespace-controller
• system: controller: node-controller
• система: contro ller: persistent-volume-binder
• система: контроллер: сборщик мусора pod
• система: контроллер: pv-protection-controller
• система: контроллер: pvc-protection-controller
• система: контроллер: replicaset-controller
• система: контроллер: контроллер репликации
• система: контроллер: resourcequota-controller
• система: контроллер: root-ca-cert-publisher
• система: controller: route-controller
• system: controller: service-account-controller
• system: controller: service-controller
• system: controller: statefulset-controller
• система: контроллер: ttl- контроллер

Предотвращение повышения привилегий и начальная загрузка

API RBAC не позволяет пользователям повышать привилегии путем редактирования ролей o r привязки ролей.Поскольку это применяется на уровне API, оно применяется даже тогда, когда авторизатор RBAC не используется.

Ограничения на создание или обновление роли

Вы можете создать / обновить роль, только если верно хотя бы одно из следующих условий:

1. У вас уже есть все разрешения, содержащиеся в роли, в той же области, что и объект модифицируется (на уровне кластера для ClusterRole, в том же пространстве имен или на уровне кластера для роли).
2. Вам предоставлено явное разрешение на выполнение глагола эскалации для ролей или ресурса clusterroles в rbac.authorization.k8s.io Группа API.

Например, если user-1 не имеет возможности перечислить секреты для всего кластера, они не могут создать ClusterRole содержащее это разрешение. Чтобы разрешить пользователю создавать / обновлять роли:

1. Предоставьте ему роль, которая позволяет им создавать / обновлять объекты Role или ClusterRole по желанию.
2. Предоставьте им разрешение на включение определенных разрешений в роли, которые они создают / обновляют:
   • неявно, предоставляя им эти разрешения (если они попытаются создать или изменить роль или ClusterRole с разрешениями, которые им самим не предоставлены, запрос API будет запрещено)
   • или явно разрешить указание любого разрешения в роли или ClusterRole , дав им разрешение на выполнение команды эскалации для ролей или clusterroles ресурсов в rbac.authorization.k8s.io Группа API

Ограничения на создание или обновление привязки ролей

Вы можете создать / обновить привязку роли, только если у вас уже есть все разрешения, содержащиеся в указанной роли (в той же области, что и привязка роли) или , если вы авторизованы для выполнения команды привязки для указанной роли. Например, если пользователь-1 не имеет возможности перечислить секреты для всего кластера, они не могут создать привязку ClusterRoleBinding. роли, предоставляющей это разрешение.Чтобы разрешить пользователю создавать / обновлять привязки ролей:

1. Предоставьте им роль, которая позволяет им создавать / обновлять объекты RoleBinding или ClusterRoleBinding по желанию.
2. Предоставьте им разрешения, необходимые для привязки определенной роли:
   • неявно, предоставив им разрешения, содержащиеся в роли.
   • явно, дав им разрешение на выполнение глагола привязки для конкретной роли (или ClusterRole).

Например, эта ClusterRole и RoleBinding позволят user-1 предоставлять другим пользователям права admin , edit и просматривать ролей в пространстве имен user-1-namespace :

  apiVersion: rbac.authorization.k8s.io/v1
вид: ClusterRole
метаданные:
  имя: роль-праводатель
правила:
- apiGroups: ["rbac.authorization.k8s.io"]
  ресурсы: ["ролевые привязки"]
  глаголы: ["создать"]
- apiGroups: ["rbac.authorization.k8s.io"]
  ресурсы: ["clusterroles"]
  глаголы: ["связывать"]
  # опустить resourceNames, чтобы разрешить привязку любой ClusterRole
  resourceNames: ["админ", "редактировать", "просмотр"]
---
apiVersion: rbac.authorization.k8s.io/v1
вид: RoleBinding
метаданные:
  имя: привязка лица, предоставившего роль
  пространство имен: user-1-namespace
roleRef:
  apiGroup: rbac.authorization.k8s.io
  вид: ClusterRole
  имя: роль-праводатель
предметы:
- apiGroup: rbac.authorization.k8s.io
  вид: Пользователь
  имя: пользователь-1
  

При загрузке первых ролей и привязок ролей необходимо, чтобы начальный пользователь предоставил разрешения, которых у него еще нет. Для начальной загрузки ролей и привязок ролей:

• Используйте учетные данные с группой «system: masters», которая привязана к роли суперпользователя «cluster-admin» привязками по умолчанию.
• Если ваш сервер API работает с включенным небезопасным портом ( --insecure-port ), вы также можете выполнять вызовы API через этот порт, который не требует проверки подлинности или авторизации.

Утилиты командной строки

kubectl create role

Создает объект Role, определяющий разрешения в пределах единого пространства имен. Примеры:

• Создайте роль с именем «pod-reader», которая позволяет пользователям выполнять get , смотреть и список на подах:

    kubectl create role pod-reader --verb = get - глагол = список --verb = смотреть --resource = pods
    

• Создайте роль с именем «pod-reader» с указанными resourceNames:

    kubectl create role pod-reader --verb = get --resource = pods --resource-name = readablepod --resource-name = другая капсула
    

• Создайте роль с именем «foo» с указанными apiGroups:

    kubectl create role foo --verb = get, list, watch --resource = replicasets.Программы
    

• Создайте роль с именем «foo» с разрешениями на подресурсы:

    kubectl create role foo --verb = get, list, watch --resource = pods, pods / status
    

• Создайте роль с именем «my-component-lease-holder» с разрешениями на получение / обновление ресурса с определенным именем:

    kubectl create role my-component-lease-holder --verb = get, список, смотреть, обновить --resource = lease --resource-name = my-component
    

kubectl create clusterrole

Создает ClusterRole.Примеры:

• Создайте ClusterRole с именем «pod-reader», которая позволяет пользователю выполнять get , смотреть и list на подах:

    kubectl create clusterrole pod-reader --verb = get, list , смотрите --resource = pods
    

• Создайте ClusterRole с именем «pod-reader» с указанными resourceNames:

    kubectl create clusterrole pod-reader --verb = get --resource = pods --resource-name = readablepod --resource-name = другая капсула
    

• Создайте ClusterRole с именем «foo» с указанными apiGroups:

    kubectl create clusterrole foo --verb = get, list, watch --resource = replicasets.Программы
    

• Создайте ClusterRole с именем «foo» с разрешениями на подресурсы:

    kubectl create clusterrole foo --verb = get, list, watch --resource = pods, pods / status
    

• Создайте ClusterRole с именем «foo» с указанным nonResourceURL:

    kubectl create clusterrole «foo» --verb = get --non-resource-url = / logs / *
    

• Создайте ClusterRole с именем «мониторинг» с указанным правилом агрегации:

    kubectl create clusterrole monitoring --aggregation-rule = "rbac.example.com/aggregate-to-monitoring=true "
    

kubectl create rolebinding

Предоставляет роль или ClusterRole в определенном пространстве имен. Примеры:

• В пространстве имен «acme» предоставьте разрешения в ClusterRole «admin» пользователю с именем «bob»:

    kubectl create rolebinding bob-admin-binding --clusterrole = admin --user = bob --namespace = acme
    

• В пространстве имен «acme» предоставьте разрешения в «представлении» ClusterRole учетной записи службы в пространстве имен «acme» с именем «myapp»:

    kubectl create rolebinding myapp-view-binding --clusterrole = просмотр --serviceaccount = acme: myapp --namespace = acme
    

• В пространстве имен «acme» предоставьте разрешения в «представлении» ClusterRole учетной записи службы в пространстве имен «myappnamespace» с именем «myapp»:

    kubectl create rolebinding myappnamespace-myapp-view-binding - -clusterrole = просмотр --serviceaccount = myappnamespace: myapp --namespace = acme
    

kubectl create clusterrolebinding

Предоставляет роль ClusterRole для всего кластера (всех пространств имен).Примеры:

• Для всего кластера предоставить разрешения в ClusterRole «cluster-admin» пользователю с именем «root»:

    kubectl create clusterrolebinding root-cluster-admin-binding --clusterrole = cluster-admin --user = корень
    

• Во всем кластере предоставьте разрешения в «system: node-proxier» ClusterRole пользователю с именем «system: kube-proxy»:

    kubectl create clusterrolebinding kube-proxy-binding --clusterrole = система: node-proxier --user = system: kube-proxy
    

• Во всем кластере предоставьте разрешения в «представлении» ClusterRole учетной записи службы с именем «myapp» в пространстве имен «acme»:

    kubectl create clusterrolebinding myapp-view-binding --clusterrole = view --serviceaccount = acme: myapp
    

kubectl auth согласовать

Создает или обновляет rbac.authorization.k8s.io/v1 Объекты API из файла манифеста.

Создаются отсутствующие объекты, и при необходимости создается содержащее пространство имен для объектов с пространством имен.

Существующие роли обновлены, чтобы включить разрешения во входных объектах, и удалите лишние разрешения, если указано --remove-extra-permissions .

Существующие привязки обновляются для включения субъектов во входные объекты, и удалите лишние предметы, если указано --remove-extra-subject .

Примеры:

• Тестирование применения файла манифеста объектов RBAC, отображение изменений, которые будут внесены:

    kubectl auth reconcile -f my-rbac-rules.yaml --dry-run = client
    

• Примените файл манифеста объектов RBAC с сохранением любых дополнительных разрешений (в ролях) и любых дополнительных субъектов (в привязках):

    kubectl auth reconcile -f my-rbac-rules.yaml
    

• Примените файл манифеста объектов RBAC, удалив все дополнительные разрешения (в ролях) и любые дополнительные субъекты (в привязках):

    kubectl auth reconcile -f my-rbac-rules.yaml --remove-extra-темы --remove-extra-permissions
    

Разрешения ServiceAccount

Политики RBAC по умолчанию предоставляют разрешения с заданной областью для компонентов, узлов уровня управления, и контроллеры, но не предоставлять разрешений для сервисных учетных записей вне пространства имен kube-system (помимо разрешений на обнаружение, предоставленных всем аутентифицированным пользователям).

Это позволяет вам при необходимости назначать определенные роли определенным ServiceAccounts. Детализированные привязки ролей обеспечивают большую безопасность, но требуют больше усилий для администрирования.Более широкие гранты могут предоставить ненужный (и потенциально расширяющийся) доступ API к ServiceAccounts, но их легче администрировать.

В порядке от наиболее безопасного к наименее защищенному подходы следующие:

1. Предоставить роль учетной записи службы для конкретного приложения (передовой опыт)

   Это требует, чтобы приложение указывало serviceAccountName в своей спецификации модуля, и для создаваемой учетной записи службы (через API, манифест приложения, kubectl create serviceaccount и т. д.).

   Например, разрешить только чтение в my-namespace учетной записи службы my-sa:

     kubectl create rolebinding my-sa-view \
     --clusterrole = просмотр \
     --serviceaccount = мое-пространство имен: мое-са \
     --namespace = мое-пространство имен
     

2. Предоставить роль учетной записи службы «по умолчанию» в пространстве имен

   Если приложение не указывает serviceAccountName , оно использует учетную запись службы «по умолчанию».

   Примечание: Разрешения, предоставленные учетной записи службы «по умолчанию», доступны для любого модуля. в пространстве имен, которое не указывает serviceAccountName .

   Например, предоставить доступ только для чтения в «my-namespace» учетной записи службы «по умолчанию»:

     kubectl create rolebinding default-view \
     --clusterrole = просмотр \
     --serviceaccount = мое-пространство имен: по умолчанию \
     --namespace = мое-пространство имен
     

   Многие надстройки работают как Учетная запись службы «default» в пространстве имен kube-system . Чтобы эти надстройки запускались с правами суперпользователя, предоставьте cluster-admin разрешения для учетной записи службы «по умолчанию» в пространстве имен kube-system .

   Внимание: Включение этого параметра означает, что пространство имен kube-system содержит секреты которые предоставляют суперпользовательский доступ к API вашего кластера.

     kubectl create clusterrolebinding add-on-cluster-admin \
     --clusterrole = администратор кластера \
     --serviceaccount = kube-system: по умолчанию
     

3. Предоставить роль всем учетным записям служб в пространстве имен

   Если вы хотите, чтобы все приложения в пространстве имен имели роль, независимо от того, какую учетную запись службы они используют, вы можете предоставить роль группе учетных записей службы для этого пространства имен.

   Например, предоставить разрешение только на чтение в «my-namespace» всем учетным записям служб в этом пространстве имен:

     kubectl create rolebinding serviceaccounts-view \
     --clusterrole = просмотр \
     --group = system: serviceaccounts: my-namespace \
     --namespace = мое-пространство имен
     

4. Предоставить ограниченную роль всем учетным записям служб в масштабе кластера (не рекомендуется)

   Если вы не хотите управлять разрешениями для каждого пространства имен, вы можете предоставить роль в масштабе кластера всем учетным записям служб.

   Например, предоставить разрешение только на чтение для всех пространств имен всем учетным записям служб в кластере:

     kubectl create clusterrolebinding serviceaccounts-view \
     --clusterrole = просмотр \
    --group = system: serviceaccounts
     

5. Предоставить суперпользователю доступ ко всем сервисным учетным записям в масштабе кластера (настоятельно не рекомендуется)

   Если вас вообще не интересуют разрешения на разделение, вы можете предоставить суперпользовательский доступ ко всем сервисным учетным записям.

   Предупреждение: Это разрешает любому приложению полный доступ к вашему кластеру, а также предоставляет любой пользователь с доступом для чтения к Секретам (или возможностью создавать любые модули) полный доступ к вашему кластеру.

     kubectl create clusterrolebinding serviceaccounts-cluster-admin \
     --clusterrole = администратор кластера \
     --group = system: serviceaccounts
     

Обновление с ABAC

Часто используются кластеры, на которых изначально были запущены более старые версии Kubernetes разрешительные политики ABAC, включая предоставление полного доступа к API для всех сервисные аккаунты.

Политики RBAC по умолчанию предоставляют разрешения с определенной областью действия компонентам, узлам уровня управления, и контроллеры, но не предоставлять разрешений для сервисных учетных записей вне пространства имен kube-system (помимо разрешений на обнаружение, предоставленных всем аутентифицированным пользователям).

Хотя это намного безопаснее, это может нарушить работу существующих рабочих нагрузок, которые ожидают автоматического получения разрешений API. Вот два подхода к управлению этим переходом:

Параллельные авторизаторы

Запустите авторизаторы RBAC и ABAC и укажите файл политики, содержащий устаревшая политика ABAC:

  --authorization-mode = ..., RBAC, ABAC --authorization-policy-file = mypolicy.json
  

Чтобы подробно объяснить этот первый параметр командной строки: если более ранние авторизаторы, такие как Node, отклонить запрос, то авторизатор RBAC пытается авторизовать запрос API.Если RBAC также отклоняет этот запрос API, затем запускается авторизатор ABAC. Это означает, что любой запрос разрешено или разрешены политики RBAC или ABAC.

Когда kube-apiserver запущен с уровнем журнала 5 или выше для компонента RBAC ( --vmodule = rbac * = 5 или --v = 5 ), вы можете увидеть отказы RBAC в журнале сервера API (с префиксом RBAC ). Вы можете использовать эту информацию, чтобы определить, какие роли должны быть предоставлены каким пользователям, группам или учетным записям служб.

После назначения ролей сервисным учетным записям и рабочим нагрузкам работают без сообщений об отказе RBAC в журналах сервера, вы можете удалить авторизатор ABAC.

Разрешающие разрешения RBAC

Вы можете реплицировать разрешающую политику ABAC, используя привязки ролей RBAC.

Предупреждение:

Следующая политика позволяет ВСЕМ учетным записям служб действовать в качестве администраторов кластера. Любое приложение, работающее в контейнере, автоматически получает учетные данные учетной записи службы, и может выполнять любые действия с API, включая просмотр секретов и изменение разрешений.Это не рекомендуемая политика.

  kubectl create clusterrolebinding permissive-binding \
  --clusterrole = администратор кластера \
  --user = admin \
  --user = кубелет \
  --group = system: serviceaccounts
  

После перехода на использование RBAC необходимо настроить элементы управления доступом.