Регистрация Войти
Рейтинг:1
avatar Server

Как узнать, каких ролей не хватает в RBAC

флаг jp
Chris G.

Как узнать, какая роль отсутствует в служебной учетной записи?

Вроде у меня есть следующее:

kubectl auth can-i create taskrun --all-namespaces --as=system:serviceaccount:default:default

нет

Хорошо, но куда идти дальше :-)

45
0 + 0
флаг in
mdaniel
Глагол и ресурсы [в основном простые] (https://kubernetes.io/docs/reference/access-authn-authz/rbac/#referring-to-resources), но я не верю, что есть какие-либо встроенные инструментарий «создать для меня роль RBAC» в kubernetes; что вы уже пробовали и что вас беспокоит?
2
Ответить
флаг jp
Chris G.
Просто мне нужно выяснить, какую роль мне нужно привязать к служебной учетной записи.
0
Ответить
флаг in
mdaniel
Верно, но я хочу сказать, что ни один (встроенный) процесс не будет волшебным образом знать, с чем `ServiceAccount` _пытается_ взаимодействовать. Нужен ли ему «секретный» доступ? _Записать_ доступ к `Секретам`? _Удалить_? если вам все равно и вы просто хотите, чтобы это работало, тогда привяжите `cluster-admin` к этому `ServiceAccount`, и это наверняка сработает. Если вам не все равно, то перечисление необходимых глаголов и ресурсов — единственный способ
1
Ответить
флаг jp
Chris G.
Круто, спасибо за информацию. Я посмотрю на ресурс и добавлю глаголы в соответствии с тем, что я хочу сделать с ролью, и привяжу его к используемому sa.
0
Ответить
Рейтинг:1
moonkotte avatar Server
флаг in
moonkotte

Публикуя ответ как вики сообщества, не стесняйтесь редактировать и расширять.

Как уже упоминал @mdaniel, в kubernetes нет встроенных инструментов, которые определят для вас необходимый доступ к учетной записи службы, а затем создадут Роль и Привязка Ролей.

В качестве временного решения можно использовать кластерная роль - администратор кластера, однако наилучшей практикой является предоставление только минимально возможных и необходимых прав доступа.

Ниже приведены ссылки на документацию, которая будет полезна:

Глагол запроса API — глаголы API, такие как получить, перечислить, создать, обновить, исправить, watch, delete и deletecollection используются для запросов ресурсов

0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.