标签: kubernetes-rbac

我正在尝试创建一个能够使用 来创建和更新特定配置映射的 Pod Role.rules.resourceNames。我能够从 Pod 内向 API 执行资源获取请求，但我无法创建资源，而是获取

$ kubectl logs rbac-test
Error from server (Forbidden): error when creating "/config/aaa.yaml": configmaps is forbidden: User "system:serviceaccount:default:rbac-test" cannot create resource "configmaps" in API group "" in the namespace "default"

如果我删除resourceNames属性，我就能够创建配置映射，但我不一定希望这个 pod 能够随意创建和更新配置映射。如何限制 serviceAccount 的角色，以便该 pod 只能操作指定的 configmap aaa？

我在 kubernetes slack 中得到了一些帮助（谢谢你，艾伦）。RBAC 发生在 URL 级别，因此创建 URL 时无法进行资源名称限制授权，因为 URL 中没有资源名称！

$ kubectl logs rbac-test
Error from server (Forbidden): error when creating "/config/aaa.yaml": configmaps is forbidden: User "system:serviceaccount:default:rbac-test" cannot …

我试图了解如何为在 AWS 中创建 EKS 集群的第一个用户管理 RBAC 授权。
或者换句话说：集群创建者如何映射到 RBAC 中的“system:masters”组？

我知道该文档指出：“当您创建 Amazon EKS 集群时，IAM 实体用户或角色（例如创建集群的联合用户）将自动在集群的 RBAC 配置中被授予 system:masters 权限。”
我了解 clusterrole cluster-admin和 clusterrolebinding cluster-admin如何向“system:masters”组的任何成员授予完全管理权限。

我无法弄清楚集群创建者用户如何/在哪里映射到该组？（文档的“自动授予”部分）

PS：我知道要添加额外的用户/角色，我应该使用 aws-auth configmap，但是第一个用户未在此处定义，并且仍然可以访问集群。

如果有人可以启发我吗？

提前致谢！

作为记录，我使用的是 kubernetes 1.18 EKS 集群，该集群是通过此处的社区模块使用 terraform 构建的：

module "cluster" {
  source  = "terraform-aws-modules/eks/aws"
  version = "13.2.1"

  cluster_version = "1.18"
  cluster_name    = "memorandom-${local.id}"
  vpc_id          = module.vpc.vpc_id
  subnets         = module.vpc.private_subnets

  write_kubeconfig = false
  manage_aws_auth  = true

  worker_groups = [
    {
      instance_type = "t3.medium"
      asg_max_size  = …

我试图了解这些用户名字段映射到 Kubernetes 集群中的位置。

这是一个示例配置映射：

apiVersion: v1
data:
  mapRoles: |
    - rolearn: arn:aws:iam::111122223333:role/eksctl-my-cluster-nodegroup
      username: system:node:{{EC2PrivateDNSName}}
      groups:
        - system:bootstrappers
        - system:nodes
  mapUsers: |
    - userarn: arn:aws:iam::111122223333:user/admin
      username: admin
      groups:
        - system:masters
    - userarn: arn:aws:iam::444455556666:user/ops-user
      username: ops-user
      groups:
        - eks-console-dashboard-full-access-group

1. 如果我将用户名更改为system:node:{{EC2PrivateDNSName}}类似的名称mynode:{{EC2PrivateDNSName}}，这真的有什么区别吗？添加前缀对 k8 集群有意义吗system:？

2. 我在 k8 中哪里可以看到这些用户。我可以使用kubectllike k get pods, as 来查询它吗kubectl get usernames？它是我们提供用于映射的虚拟用户名还是拥有任何特殊权限。

3. 这些名字从何{{EC2PrivateDNSName}}而来。还有其他可用的变量吗？我从文档中看不到与此相关的任何信息。

提前致谢！

我怎么也找不到所有 Kubernetes RBAC 动词的作用的详细表格。我看到人们推荐的唯一资源就是这个，但它严重不足。

所以我一直在通过实验来解决这个问题。

到目前为止，大多数都相当简单，除了UPDATE. 这似乎无法完成我期望的任何事情。

我在命名空间中的[ ]上授予了我的别名： [ GET, ]权限。UPDATEdeploymentsdefault