Container Service for Kubernetes:Restrict resource operations in a cluster by using custom RBAC

Mecanismo de RBAC do Kubernetes

Role (escopo de namespace)

Uma Role define um conjunto de permissões restritas a um único namespace. Em seguida, uma RoleBinding vincula essa Role a sujeitos, garantindo que as permissões tenham efeito apenas naquele namespace. O exemplo YAML abaixo define uma Role chamada my-role, que concede acesso de leitura aos recursos de Pod no namespace padrão.

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: my-role
rules:                               # A list of permission rules.
  - apiGroups: [""]                    # The API group of the resource. An empty string "" indicates the core API group.
    resources: ["pods"]                # The resource type that the rule applies to.
    verbs: ["get", "list"]             # The actions that are allowed on the resource.

ClusterRole (escopo de cluster)

Uma ClusterRole estabelece um conjunto de permissões válidas para todo o cluster. Posteriormente, uma ClusterRoleBinding associa a ClusterRole aos sujeitos, permitindo que as permissões se apliquem em todo o ambiente. O exemplo YAML a seguir cria uma ClusterRole denominada my-clusterrole, liberando a leitura de recursos de Pod e Service no cluster.

A ClusterRole é um recurso com escopo de cluster. Especificar um namespace no YAML não produz nenhum efeito.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
# namespace: default                     # A namespace is not required for a ClusterRole.
  name: my-clusterrole
rules:                                 # A list of permission rules.
  - apiGroups: [""]                    # The API group of the resource.
    resources: ["pods"]                # The resource type.
    verbs: ["get", "list"]             # The allowed actions.
  - apiGroups: [""]
    resources: ["services"]
    verbs: ["get", "list"]

Políticas comuns de recursos

• Permissões de leitura

  • get: Lê os detalhes de um recurso específico.

  • list: Lista uma coleção de recursos.

  • watch: Monitora alterações nos recursos e recebe atualizações em tempo real.

• Permissões de escrita

  • create: Cria uma nova instância de recurso.

  • update: Modifica um recurso existente.

  • patch: Aplica uma modificação parcial a um recurso existente.

  • delete: Exclui um recurso especificado.

Como conceder acesso ao terminal do console?

Por padrão, um usuário RAM ou função RAM não consegue acessar o terminal de um container pelo console do ACK, mesmo possuindo permissões de somente leitura get e list para pods. Essa ação exige permissões get e create no sub-recurso de Pod pods/exec.

Portanto, conceda as permissões get e create sobre o recurso pods/exec nas rules de uma Role ou ClusterRole e vincule essa função ao usuário ou grupo de usuários alvo. Veja um exemplo abaixo.

Para acessar o terminal: Faça login no console do ACK . Na página Clusters , clique no nome do cluster desejado. No painel de navegação à esquerda, escolha Workloads > Pods . Na coluna Actions , clique em Terminal .

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: ns-role 
rules:                               
- apiGroups: [""]                   
  resources: ["pods"]                
  verbs: ["get", "list"]           
# Grant permissions on pods/exec in the namespace.
- apiGroups: [""]
  resources: ["pods/exec"]
  verbs: ["get", "create"]

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
# namespace: default                     
  name: my-clusterrole
rules:                                 
  - apiGroups: [""]                   
    resources: ["pods"]               
    verbs: ["get", "list"]             
  - apiGroups: [""]
    resources: ["services"]
    verbs: ["get", "list"]
# Grant permissions on pods/exec in the cluster.
  - apiGroups: [""]
    resources: ["pods/exec"]
    verbs: ["get", "create"]