Kubernetes Role ClusterRole-CFANZ编程社区

Role 和 ClusterRole 是 Kubernetes 中的两种 RBAC（基于角色的访问控制）资源，用于定义用户、服务账户或其他实体在 Kubernetes 中对资源的访问权限。

Role：用于在特定命名空间内定义权限，控制在该命名空间中的资源访问。
ClusterRole：用于定义集群范围的权限，可以应用于所有命名空间，或者用于管理集群级别的资源（如 Nodes、PersistentVolumes 等）。

Role 的主要功能

定义权限

Role 允许在特定命名空间内定义哪些用户或服务账户可以访问哪些资源及其操作权限。

规则定义：Role 通过定义一组规则来描述权限，规则包括资源类型、操作类型和 API 组。

资源类型

Role 支持的资源类型包括：

Pods：容器实例。
Services：服务资源。
Deployments：部署资源。
ConfigMaps：配置映射。
Secrets：敏感数据。

ClusterRole 的主要功能

集群范围的访问控制

ClusterRole 可以跨多个命名空间应用，适合用于需要集群级别访问权限的场景，比如监控、日志等。

角色复用

ClusterRole 可以在多个命名空间中复用，通过 RoleBinding 将其绑定到不同的用户或服务账户，提升管理效率。

Role 和 ClusterRole 的组成部分

API 版本

所有 RBAC 资源都使用以下 API 版本：

apiVersion: rbac.authorization.k8s.io/v1

kind

Role：kind: Role
ClusterRole：kind: ClusterRole

metadata

名称：Role 或 ClusterRole 的名称。
命名空间：Role 必须指定命名空间，而 ClusterRole 不需要。

rules

规则是 Role 和 ClusterRole 的核心部分，包含以下字段：

apiGroups：资源的 API 组，可以是空字符串表示核心组。
resources：要访问的资源类型。
verbs：允许的操作，如 get、list、create、delete。

Role 示例

以下是一个 Role 的 YAML 示例，允许在命名空间中对 Pods 执行 get 和 list 操作：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: pod-reader
  namespace: my-namespace
rules:
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "list"]

ClusterRole 示例

以下是一个 ClusterRole 的 YAML 示例，允许对集群中的所有 Pods 执行 get、list 和 watch 操作：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-pod-reader
rules:
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "list", "watch"]

RoleBinding 和 ClusterRoleBinding

为了将 Role 或 ClusterRole 绑定到特定用户或服务账户，需要使用 RoleBinding 或 ClusterRoleBinding。

RoleBinding 示例

将 Role 绑定到特定用户的示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: my-namespace
subjects:
  - kind: User
    name: my-user
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

ClusterRoleBinding 示例

将 ClusterRole 绑定到特定用户的示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: read-cluster-pods
subjects:
  - kind: User
    name: my-user
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: cluster-pod-reader
  apiGroup: rbac.authorization.k8s.io

使用 Role 和 ClusterRole 的最佳实践

最小权限原则

确保用户和服务账户仅具有执行其工作所需的最少权限，以降低安全风险。

角色复用

使用 ClusterRole 定义共享权限，然后通过 RoleBinding 在不同命名空间中复用，减少冗余配置。

定期审计

定期检查和审计 Role 和 ClusterRole 的使用情况，确保权限配置与实际需求一致，并及时更新。

常见场景

应用程序访问 Kubernetes API

使用 Role 允许特定应用程序访问 Kubernetes API 中的资源，例如 Pods 和 ConfigMaps。

集群管理工具

使用 ClusterRole 管理集群级别的操作，如节点管理、监控等。

多租户环境

在多租户环境中，通过为每个团队或应用程序创建独立的 Role 和 ClusterRole，有效地控制和隔离权限。

总结

Kubernetes 中的 Role 和 ClusterRole 是实现细粒度访问控制的重要工具。通过合理配置和管理这些角色，管理员可以有效控制用户和服务账户对 Kubernetes 资源的访问，从而提高集群的安全性和管理效率。在集群操作和多租户环境中，良好的 RBAC 配置能够显著提升系统的安全性和可管理性。