当前位置：首页 > article >正文

kubernetes 核心技术-集群安全机制 RBAC

article 2025/2/5 6:53:53

随着 Kubernetes 在企业级应用中的广泛采用，确保集群的安全性变得至关重要。Kubernetes 提供了多种安全机制来保护集群及其资源免受未授权访问和潜在威胁的影响。其中，基于角色的访问控制（Role-Based Access Control, 简称 RBAC）是实现细粒度权限管理的核心组件之一。本文将深入探讨 Kubernetes 中的 RBAC 安全模型，包括其工作原理、配置方式以及最佳实践。

什么是 RBAC？

基本概念

RBAC 是一种访问控制机制，它允许管理员通过定义角色（Roles）和角色绑定（RoleBindings）来指定哪些用户或服务账户可以执行特定的操作。在 Kubernetes 中，RBAC 主要用于控制对 API 资源的访问权限。每个角色包含一组规则，这些规则描述了该角色允许执行的动作（如 get, list, create, update, delete 等）以及适用的资源类型（如 pods, services, deployments 等）。

关键组件

Role/ClusterRole：定义了一组权限规则，指定可执行的操作和目标资源。
RoleBinding/ClusterRoleBinding：将角色与一个或多个主体（如用户、组或服务账户）关联起来，赋予它们相应的权限。

工作原理

角色定义

在 Kubernetes 中，角色分为两种类型：Role 和 ClusterRole。前者作用范围局限于单个命名空间内，而后者则在整个集群范围内有效。

示例：创建一个命名空间级别的 Role

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list", "watch"]

此例子定义了一个名为 pod-reader 的角色，它允许用户对 default 命名空间下的 Pods 执行 get, list 和 watch 操作。

示例：创建一个集群级别的 ClusterRole

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  # "namespace" omitted since ClusterRoles are not namespaced
  name: secret-reader
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list", "watch"]

这个 secret-reader ClusterRole 允许用户在整个集群范围内读取 Secrets。

角色绑定

一旦定义好角色后，接下来就需要通过角色绑定将其与具体的主体关联起来。同样地，角色绑定也分为两类：RoleBinding 和 ClusterRoleBinding。

示例：为命名空间内的用户分配角色

apiVersion: rbac.authorization.k8s.io/v1
# This role binding allows "jane" to read pods in the "default" namespace.
kind: RoleBinding
metadata:
  name: read-pods
  namespace: default
subjects:
- kind: User
  name: jane # Name is case sensitive
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role # refers to the Role defined above
  name: pod-reader # this must match the name of the Role or ClusterRole you want to bind to
  apiGroup: rbac.authorization.k8s.io

这里我们创建了一个 RoleBinding，使得用户 jane 可以在 default 命名空间中读取 Pods。

示例：为整个集群内的用户分配集群角色

apiVersion: rbac.authorization.k8s.io/v1
# This cluster role binding allows anyone in the "manager" group to read secrets in any namespace.
kind: ClusterRoleBinding
metadata:
  name: read-secrets-global
subjects:
- kind: Group
  name: manager # Name is case sensitive
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: secret-reader
  apiGroup: rbac.authorization.k8s.io

上述代码示例展示了如何使用 ClusterRoleBinding 来给予 manager 组的所有成员全局范围内读取 Secrets 的权限。