随着 Kubernetes 在企业级应用中的广泛采用，确保集群的安全性变得至关重要。Kubernetes 提供了多种安全机制来保护集群及其资源免受未授权访问和潜在威胁的影响。其中，基于角色的访问控制（Role-Based Access Control, 简称 RBAC）是实现细粒度权限管理的核心组件之一。本文将深入探讨 Kubernetes 中的 RBAC 安全模型，包括其工作原理、配置方式以及最佳实践。
什么是 RBAC？
基本概念
RBAC 是一种访问控制机制，它允许管理员通过定义角色（Roles）和角色绑定（RoleBindings）来指定哪些用户或服务账户可以执行特定的操作。在 Kubernetes 中，RBAC 主要用于控制对 API 资源的访问权限。每个角色包含一组规则，这些规则描述了该角色允许执行的动作（如 get, list, create, update, delete 等）以及适用的资源类型（如 pods, services, deployments 等）。
关键组件
- Role/ClusterRole：定义了一组权限规则，指定可执行的操作和目标资源。
- RoleBinding/ClusterRoleBinding：将角色与一个或多个主体（如用户、组或服务账户）关联起来，赋予它们相应的权限。
工作原理
角色定义
在 Kubernetes 中，角色分为两种类型：Role 和 ClusterRole。前者作用范围局限于单个命名空间内，而后者则在整个集群范围内有效。
示例：创建一个命名空间级别的 Role
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
namespace: default
name: pod-reader
rules:
- apiGroups: [""]
resources: ["pods"]
verbs: ["get", "list", "watch"]
此例子定义了一个名为 pod-reader 的角色，它允许用户对 default 命名空间下的 Pods 执行 get, list 和 watch 操作。
示例：创建一个集群级别的 ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
# "namespace" omitted since ClusterRoles are not namespaced
name: secret-reader
rules:
- apiGroups: [""]
resources: ["secrets"]
verbs: ["get", "list", "watch"]
这个 secret-reader ClusterRole 允许用户在整个集群范围内读取 Secrets。
角色绑定
一旦定义好角色后，接下来就需要通过角色绑定将其与具体的主体关联起来。同样地，角色绑定也分为两类：RoleBinding 和 ClusterRoleBinding。
示例：为命名空间内的用户分配角色
apiVersion: rbac.authorization.k8s.io/v1
# This role binding allows "jane" to read pods in the "default" namespace.
kind: RoleBinding
metadata:
name: read-pods
namespace: default
subjects:
- kind: User
name: jane # Name is case sensitive
apiGroup: rbac.authorization.k8s.io
roleRef:
kind: Role # refers to the Role defined above
name: pod-reader # this must match the name of the Role or ClusterRole you want to bind to
apiGroup: rbac.authorization.k8s.io
这里我们创建了一个 RoleBinding，使得用户 jane 可以在 default 命名空间中读取 Pods。
示例：为整个集群内的用户分配集群角色
apiVersion: rbac.authorization.k8s.io/v1
# This cluster role binding allows anyone in the "manager" group to read secrets in any namespace.
kind: ClusterRoleBinding
metadata:
name: read-secrets-global
subjects:
- kind: Group
name: manager # Name is case sensitive
apiGroup: rbac.authorization.k8s.io
roleRef:
kind: ClusterRole
name: secret-reader
apiGroup: rbac.authorization.k8s.io
上述代码示例展示了如何使用 ClusterRoleBinding 来给予 manager 组的所有成员全局范围内读取 Secrets 的权限。
实践建议
最小权限原则
始终遵循最小权限原则，即只授予必要的最低限度的权限。避免过度授权，尤其是对于具有较高权限的角色（如管理员角色），应严格限制其使用范围。
定期审计
定期审查现有的角色和角色绑定，确保没有不必要的权限存在，并及时移除不再需要的访问权限。
使用命名空间隔离
利用命名空间划分不同的环境或团队的工作负载，结合 Role 和 RoleBinding 进行更细粒度的权限控制，减少跨命名空间的权限泄露风险。
结语
感谢您的阅读！如果您对 Kubernetes RBAC 或其他相关话题有任何疑问或见解，欢迎继续探讨。