2. 程式人生 > >k8s rbac 權限認證實踐操作1

k8s rbac 權限認證實踐操作1

阿新 • • 發佈：2018-09-06
pac 並不是 eat stat svc The 測試 -h rom

1.
概述:
使用前面新加的User/jane
分別測試role和clusterrole還有rolebinding和clusterrolebinding的各種不同組合情況。

2.
前面授予jane的role和rolebinding詳情

role信息

[root@k8s-master1 quanxian]# cat role1.yaml
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
? namespace: default
? name: pod-reader
rules:
- apiGroups: [""] # "" indicates the core API group
? resources: ["pods"]
? verbs: ["get", "watch", "list"]
 
[root@k8s-master1 quanxian]# kubectl describe roles
Name:? ? ? ? pod-reader
Labels:? ? ? <none>
Annotations:? kubectl.kubernetes.io/last-applied-configuration={"apiVersion":"rbac.authorization.k8s.io/v1","kind":"Role","metadata":{"annotations":{},"name":"pod-reader","namespace":"default"},"rules":[{"apiGroups...
PolicyRule:
? Resources? Non-Resource URLs? Resource Names? Verbs
? ---------? -----------------? --------------? -----
? pods? ? ? []? ? ? ? ? ? ? ? []? ? ? ? ? ? ? [get watch list]

rolebinding信息

[root@k8s-master1 quanxian]# cat rolebinding1.yaml
# This role binding allows "jane" to read pods in the "default" namespace.
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
? name: read-pods
? namespace: default
subjects:
- kind: User
? name: jane # Name is case sensitive
? apiGroup: rbac.authorization.k8s.io
roleRef:
? kind: Role #this must be Role or ClusterRole
? name: pod-reader # this must match the name of the Role or ClusterRole you wish to bind to
? apiGroup: rbac.authorization.k8s.io
[root@k8s-master1 quanxian]#
 
[root@k8s-master1 quanxian]# kubectl describe rolebinding
Name:? ? ? ?? read-pods
Labels:? ? ?? <none>
Annotations:? kubectl.kubernetes.io/last-applied-configuration={"apiVersion":"rbac.authorization.k8s.io/v1","kind":"RoleBinding","metadata":{"annotations":{},"name":"read-pods","namespace":"default"},"roleRef":{"ap...
Role:
? Kind:? Role
? Name:? pod-reader
Subjects:
? Kind? Name? Namespace
? ----? ----? ---------
? User? jane?

jane rbac詳情
role
rolebinding ? ? ? ?
roleRef:
? kind: Role?
? name: pod-reader?

jane只有在namaspace default下有權限操作pod

[root@k8s-master1 .kube]# kubectl get po
NAME? ? ? ? ? ? ? ? ? ? ? ?? READY? ?? STATUS? ? RESTARTS?? AGE
httpd-app-6dc78c4869-8dmmq?? 1/1? ? ?? Running?? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-dbpxc?? 1/1? ? ?? Running?? 5? ? ? ? ? 6d
httpd-app-6dc78c4869-hs59j?? 1/1? ? ?? Running?? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-lp4hs?? 1/1? ? ?? Running?? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-z9mc9?? 1/1? ? ?? Running?? 6? ? ? ? ? 6d
[root@k8s-master1 .kube]# kubectl get po -n kube-system
Error from server (Forbidden): pods is forbidden: User "jane" cannot list pods in the namespace "kube-system"
[root@k8s-master1 .kube]#

3.

如果把roleRef 改成ClusterRole 會如何呢？
role修改具體見下:
role
rolebinding ? ? ? ?
roleRef:
? kind: ClusterRole?
? name: pod-reader ??

刪除前面配置的rolebinding

[root@k8s-master1 quanxian]# kubectl delete -f rolebinding1.yaml
rolebinding.rbac.authorization.k8s.io "read-pods" deleted
[root@k8s-master1 quanxian]#
[root@k8s-master1 quanxian]# kubectl get rolebinding
No resources found.

修改下rolebinding文件

[root@k8s-master1 quanxian]# cat rolebinding1.yaml
# This role binding allows "jane" to read pods in the "default" namespace.
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
? name: read-pods
? namespace: default
subjects:
- kind: User
? name: jane # Name is case sensitive
? apiGroup: rbac.authorization.k8s.io
roleRef:
? kind: ClusterRole #this must be Role or ClusterRole
? name: pod-reader # this must match the name of the Role or ClusterRole you wish to bind to
? apiGroup: rbac.authorization.k8s.io
[root@k8s-master1 quanxian]#

執行生成rolebinding

[root@k8s-master1 quanxian]# kubectl apply -f rolebinding1.yaml
rolebinding.rbac.authorization.k8s.io "read-pods" created
[root@k8s-master1 quanxian]#

檢查權限看看

[root@k8s-master1 quanxian]# kubectl get rolebinding
NAME? ? ? ? AGE
read-pods?? 24s
[root@k8s-master1 quanxian]#
[root@k8s-master1 quanxian]# kubectl describe role
Name:? ? ? ?? pod-reader
Labels:? ? ?? <none>
Annotations:? kubectl.kubernetes.io/last-applied-configuration={"apiVersion":"rbac.authorization.k8s.io/v1","kind":"Role","metadata":{"annotations":{},"name":"pod-reader","namespace":"default"},"rules":[{"apiGroups...
PolicyRule:
? Resources? Non-Resource URLs? Resource Names? Verbs
? ---------? -----------------? --------------? -----
? pods? ? ?? []? ? ? ? ? ? ? ?? []? ? ? ? ? ? ? [get watch list]
[root@k8s-master1 quanxian]#
[root@k8s-master1 quanxian]# kubectl describe rolebinding
Name:? ? ? ?? read-pods
Labels:? ? ?? <none>
Annotations:? kubectl.kubernetes.io/last-applied-configuration={"apiVersion":"rbac.authorization.k8s.io/v1","kind":"RoleBinding","metadata":{"annotations":{},"name":"read-pods","namespace":"default"},"roleRef":{"ap...
Role:
? Kind:? ClusterRole
? Name:? pod-reader
Subjects:
? Kind? Name? Namespace
? ----? ----? ---------
? User? jane?
[root@k8s-master1 quanxian]#

註意:全部報錯了

[root@k8s-master1 .kube]# kubectl get pod -n kube-system
Error from server (Forbidden): pods is forbidden: User "jane" cannot list pods in the namespace "kube-system"
[root@k8s-master1 .kube]# kubectl get pod
Error from server (Forbidden): pods is forbidden: User "jane" cannot list pods in the namespace "default": clusterrole.rbac.authorization.k8s.io "pod-reader" not found
[root@k8s-master1 .kube]# kubectl get pod -n default

由此可見:

roleRef:
? kind: ClusterRole #this must be Role or ClusterRole
? name: pod-reader # this must match the name of the Role or ClusterRole you wish to bind to
? apiGroup: rbac.authorization.k8s.io

kind和name必須是相對應的.
pod-reader是Role，而在這裏kind配置了ClusterRole所以報錯，沒有任何權限了。

4.

跟著報錯解決問題:

把pod-reader改成ClusterRole，read-pods改成ClusterRoleBinding
權限情況會如何呢？

刪除role

[root@k8s-master1 quanxian]#? kubectl delete -f role1.yaml
role.rbac.authorization.k8s.io "pod-reader" deleted
[root@k8s-master1 quanxian]#

刪除

[root@k8s-master1 quanxian]# kubectl delete -f rolebinding1.yaml
rolebinding.rbac.authorization.k8s.io "read-pods" deleted

修改成ClusterRole

[root@k8s-master1 quanxian]# cat role1.yaml
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
? namespace: default
? name: pod-reader
rules:
- apiGroups: [""] # "" indicates the core API group
? resources: ["pods"]
? verbs: ["get", "watch", "list"]
[root@k8s-master1 quanxian]#

修改

[root@k8s-master1 quanxian]# cat rolebinding1.yaml
# This role binding allows "jane" to read pods in the "default" namespace.
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
? name: read-pods
? namespace: default
subjects:
- kind: User
? name: jane # Name is case sensitive
? apiGroup: rbac.authorization.k8s.io
roleRef:
? kind: ClusterRole #this must be Role or ClusterRole
? name: pod-reader # this must match the name of the Role or ClusterRole you wish to bind to
? apiGroup: rbac.authorization.k8s.io
[root@k8s-master1 quanxian]#

生成ClusterRole

[root@k8s-master1 quanxian]# kubectl apply -f role1.yaml
clusterrole.rbac.authorization.k8s.io "pod-reader" created
[root@k8s-master1 quanxian]#

生成

[root@k8s-master1 quanxian]# kubectl apply -f rolebinding1.yaml
clusterrolebinding.rbac.authorization.k8s.io "read-pods" created

執行情況見下:

[root@k8s-master1 quanxian]# kubectl get pod
NAME? ? ? ? ? ? ? ? ? ? ? ? READY? ? STATUS? ? RESTARTS? AGE
httpd-app-6dc78c4869-8dmmq? 1/1? ? ? Running? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-dbpxc? 1/1? ? ? Running? 5? ? ? ? ? 6d
httpd-app-6dc78c4869-hs59j? 1/1? ? ? Running? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-lp4hs? 1/1? ? ? Running? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-z9mc9? 1/1? ? ? Running? 6? ? ? ? ? 6d
[root@k8s-master1 quanxian]# kubectl get pod -n svc
No resources found.
[root@k8s-master1 quanxian]# kubectl get pod -n public
No resources found.
[root@k8s-master1 quanxian]#
[root@k8s-master1 quanxian]# kubectl get namespace
Error from server (Forbidden): namespaces is forbidden: User "jane" cannot list namespaces at the cluster scope
[root@k8s-master1 quanxian]#

No resources found. 這是因為沒有生成pod。並不是沒有權限。
發現jane 可以讀取所有namespace下的pod信息了。
clusterrole指定了namespace並沒有在這裏限制住jane只能在單個namespace讀取pod。

5.

如果只把pod-reader改成ClusterRole，read-pods繼續用以前的rolebinding
權限情況會如何呢？?

[root@k8s-master1 quanxian]# kubectl delete -f rolebinding1.yaml
clusterrolebinding.rbac.authorization.k8s.io "read-pods" deleted
[root@k8s-master1 quanxian]#
[root@k8s-master1 quanxian]# cat rolebinding1.yaml
# This role binding allows "jane" to read pods in the "default" namespace.
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
? name: read-pods
? namespace: default
subjects:
- kind: User
? name: jane # Name is case sensitive
? apiGroup: rbac.authorization.k8s.io
roleRef:
? kind: ClusterRole #this must be Role or ClusterRole
? name: pod-reader # this must match the name of the Role or ClusterRole you wish to bind to
? apiGroup: rbac.authorization.k8s.io
[root@k8s-master1 quanxian]#
[root@k8s-master1 quanxian]# kubectl apply -f rolebinding1.yaml
rolebinding.rbac.authorization.k8s.io "read-pods" created

權限執行情況

[root@k8s-master1 quanxian]# kubectl get pod
NAME? ? ? ? ? ? ? ? ? ? ? ? READY? ? STATUS? ? RESTARTS? AGE
httpd-app-6dc78c4869-8dmmq? 1/1? ? ? Running? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-dbpxc? 1/1? ? ? Running? 5? ? ? ? ? 6d
httpd-app-6dc78c4869-hs59j? 1/1? ? ? Running? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-lp4hs? 1/1? ? ? Running? 6? ? ? ? ? 6d
httpd-app-6dc78c4869-z9mc9? 1/1? ? ? Running? 6? ? ? ? ? 6d
[root@k8s-master1 quanxian]# kubectl get pod -n kube-system
Error from server (Forbidden): pods is forbidden: User "jane" cannot list pods in the namespace "kube-system"
[root@k8s-master1 quanxian]# kubectl get pod -n public
Error from server (Forbidden): pods is forbidden: User "jane" cannot list pods in the namespace "public"
[root@k8s-master1 quanxian]#

可以看到如果使用rolebinding，權限還是限制在指定的namespace。

6.
總結

使用clusterrole時，
如果綁定方式是rolebinding，權限只在指定的namespace生效
如果綁定方式是clusterbinding，權限將在整個cluster所有的namespace生效

k8s rbac 權限認證實踐操作1

相關推薦

k8s rbac 權限認證實踐操作1

pac 並不是 eat stat svc The 測試 -h rom 1.概述:使用前面新加的User/jane分別測試role和clusterrole還有rolebinding和clusterrolebinding的各種不同組合情況。 2.前面授予jane的role和ro

【laravel54】關於用戶權限認證RBAC和無限極分類

ken fault spa laravel mod ret turn app defaults 1、權限認證方面： https://packagist.org/packages/spatie/laravel-permission 用戶認證 HTTP本身是無狀態，通常在系

22-1 rbac權限設計

item clas word 去重 同步 mission tag 好的 執行 一 表結構設計 1 from django.db import models 2 3 # Create your models here. 4 from django.db impo

關於ASP.NET MVC的權限認證的一些總結

filter mode allow 檢查 art 權限 奇怪 dha 可執行 最近在學ASP.NET MVC的權限認證的一些東西，上網搜索了一陣，發現網上的方法大多數是以下幾類： 一、FormsAuthentication.SetAuthCookie(admin.Name,

基於thinkphp的RBAC權限控制

名稱 bsp 基於 也有 沒有權限 path 我們 ids images RBAC Role-Based Access Control 權限控制在後臺管理中是十分常見的，它的模型大體上是下面這張圖的形式 我用的字段和上面不一樣，圖只是個示例 一個簡易的權限控制模型只需要

RBAC權限設計實例

log nbsp blog video http ins mooc 權限 lin http://blog.csdn.net/painsonline/article/details/7183629 http://www.noahweb.net/mail/2/Project.

[轉]asp.net權限認證：HTTP基本認證（http basic）

border expr == gets tps ram word tro cred 本文轉自：http://www.cnblogs.com/lanxiaoke/p/6353955.html HTTP基本認證示意圖 HTTP基本認證，即http basic認證。 客

[轉]asp.net權限認證：摘要認證(digest authentication)

imp 2個 端端 不一致 輸入 解析 操作 hash ostc 本文轉自：http://www.cnblogs.com/lanxiaoke/p/6357501.html 摘要認證簡單介紹 摘要認證是對基本認證的改進，即是用摘要代替賬戶密碼，從而防止明文傳輸中

yii2 rbac權限控制之菜單menu詳細教程

cheng gda zhong ssl print ads xiv sheng bce %E5%90%91%E9%87%8F%E8%87%AA%E5%9B%9E%E5%BD%92%E6%A8%A1%E5%9E%8BVS%E9%A3%8E%E9%99%A9%E4%BB%B7%

rbac 權限控制

無法 希望 continue 構建 names def pri .com space RBAC 的控制,大致是通過將角色的權限控制,來控制用戶的權限. 需要構建的表為 用戶表(user) ,角色表(role),節點表(node),三張主表 , 節點表內記錄的是所有的權限和方

RBAC權限管理

樹型結構 添加 csdn 多對多 都是 進行 iteye 應用 title RBAC（Role-Based Access Control，基於角色的訪問控制），就是用戶通過角色與權限進行關聯。簡單地說，一個用戶擁有若幹角色，每一個角色擁有若幹權限。這樣，就構造成“用戶-角色

權限認證 cookie VS token

down 不知道 要去 關心 難解 def 找到 無圖 不一定 權限認證 cookie VS token 我前公司的應用都是 token 授權的，現公司都是維護一個 session 確認登錄狀態的。那麽我在這掰扯掰扯這兩種權限認證的方方面面。 工作流程 先說 cookie

Mongodb之權限認證管理

nosql mongodb 權限認證 Mongodb默認是不開啟認證的，對於數據庫來說，這有很大的安全隱患，下面記錄下生產中Mongodb權限認證的方法。 一，環境 阿裏雲：CentOS Linux release 7.4.1708 (Core)Mongodb版本： 3.6.2 二，添加超級用戶

Shiro安全框架之權限認證（授權）

實例 reat trace () onf 而不是 ocs log logout 第一講、權限認證核心要素 權限認證，也就是訪問控制，即在應用中控制誰能訪問哪些資源。 在權限認證中，最核心的三個要素是：權限，角色和用戶； Authorization has three co

HINKPHP50的AUTH權限認證、結合3的認證

升級 php 驗證 怎麽 www 增強 作用 求解 AC 加載不了視圖類是怎麽回事1RC3BUGTP5分頁實現無刷新分頁應該如何實現呢 建議模板渲染規則可以配置HIBERNATEANNOTATION樹狀結構的映射ORACLE的DATE字段類型轉到MYSQL中如何進行映射 藍

權限認證系統, 實現類似單點登錄的功能

coo 系統 新建用戶 用戶認證 認證 一次 所有 保存 cookie 用於統一管理所有集采相關站點的token，實現類似單點登錄的功能。主要用於多服務集群， 各子系統單獨登錄，想要實現單點登錄的功能。首先 新建用戶認證表（總表），包括子系統所有的用戶，要求token唯一性

Jenkins 如何通過 Gitlab 上的權限認證

打開 proc .com lis pub 如何 就會 itl oss 一、背景 我們還繼續上個博文配置的演示，之前的項目是publish的，我們在gitlab上面把它修改成private，然後再次打開配置，就會出現下面的錯誤。 Jenkins 如何通過 Gitlab 上的權

關於使用activeMQ的權限認證

auth mage bubuko alt ins password pass gif cat 剛開始使用activeMQ時在Spring中配置時，activeMQ的用戶名以及密碼都沒有用到，也就是說怎麽填寫用戶名，密碼都可以 那是因為在activeMQ的配置conf/ac

10.11 rbac權限

0.11 查看 cit ESS shortcuts url pwd current http 2018-10-11 12:25:11 現在寫代碼時候,不要好多代碼放在一塊!註重解耦!!!!! 把權限放到中間件裏面,每次訪問的時候都用到! 自己的網站弄完了,博客網站已經正式上

springboot+shrio簡易登錄登出和用戶權限認證。

註銷 manager 一個 host ati 定義 ken cnblogs 比較 源碼：https://github.com/huangshengz/myJavaDemo本例子參考：https://www.cnblogs.com/HowieYuan/p/9259638.ht