【k8s】serviceAccount、role、RoleBinding入门示例

文章目录

RBAC(基于角色的访问控制,Role-Based Access Control)是Kubernetes中用于管理权限的机制。要在Kubernetes环境中创建并演示一个RBAC权限设置的例子,你可以按照以下步骤操作:

  1. 创建一个命名空间
    首先,创建一个新的命名空间,以便在其中演示RBAC的配置。
bash 复制代码
kubectl create namespace demo-rbac
  1. 创建一个ServiceAccount
    接下来,在这个命名空间中创建一个ServiceAccount。这个ServiceAccount会与RBAC绑定,从而获得特定权限。
html 复制代码
kubectl create serviceaccount demo-user -n demo-rbac
  1. 创建一个Role
    创建一个Role,并定义该角色在特定命名空间中的权限。例如,以下Role允许demo-user在demo-rbac命名空间中查看和列出Pods。
html 复制代码
# role.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: demo-rbac
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]

应用这个Role:

html 复制代码
kubectl apply -f role.yaml

注意:Role是区分命名空间的,因此,在查询的时候,也需要指定 -n 参数

  1. 创建一个RoleBinding
    将这个Role绑定到刚才创建的ServiceAccount上,使得该ServiceAccount可以使用指定的权限。
toml 复制代码
# rolebinding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: demo-rbac
subjects:
- kind: ServiceAccount
  name: demo-user
  namespace: demo-rbac
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

应用这个RoleBinding:

html 复制代码
kubectl apply -f rolebinding.yaml

注意:rolebinding是区分命名空间的,因此,在查询的时候,也需要指定 -n 参数

  1. 使用kubectl命令行验证权限
    验证这个ServiceAccount是否拥有正确的权限。为了模拟用户使用这个ServiceAccount进行操作,可以通过kubectl命令使用--as标志来执行操作。

例如,尝试在demo-rbac命名空间中列出Pods:

html 复制代码
kubectl get pods -n demo-rbac --as=system:serviceaccount:demo-rbac:demo-user

如果设置正确,这个命令会返回命名空间中的Pod列表。

  1. 验证无权限操作
    尝试执行未授予权限的操作,例如删除一个Pod:
html 复制代码
kubectl delete pod <pod-name> -n demo-rbac --as=system:serviceaccount:demo-rbac:demo-user

你会看到一个错误,表明没有删除Pod的权限。

或者 查看 role的操作,也会没权限:

html 复制代码
kubectl get role -n demo-rbac --as=system:serviceaccount:demo-rbac:demo-user
相关推荐
m0_7415747511 小时前
k8s的service
云原生·容器·kubernetes
鼠鼠我捏,要死了捏13 小时前
蓝绿发布与滚动更新:基于Kubernetes的微服务零停机切换实战指南
微服务·kubernetes·blue-green
xiao-xiang14 小时前
k8s下的发布策略详解
云原生·容器·kubernetes·部署·cicd·发布
优秀的老黄14 小时前
Docker部署RabbitMQ
linux·运维·docker·中间件·容器·centos·rabbitmq
Lin_Aries_042114 小时前
容器使用卷
linux·运维·docker·云原生·容器·eureka
寒士obj15 小时前
Docker的使用及核心命令
运维·docker·容器
邂逅星河浪漫15 小时前
【Docker-Nginx】通过Docker部署Nginx容器
nginx·docker·容器
Dontla16 小时前
Docker Compose healthcheck介绍(监控容器中服务的实际健康状态)数据库健康检查pg_isready
数据库·docker·容器
HeXDev16 小时前
【Docker】一键将运行中的容器打包成镜像并导出
运维·docker·容器
有谁看见我的剑了?17 小时前
k8s-临时容器学习
学习·容器·kubernetes