Sertifikalar, kubeconfig Bağlamları ve Sıfırdan RBAC

Neden önemli

Sınavdaki "X yapamazsın" hatalarının yarısı RBAC, diğer yarısı yanlış kümeyi göstermektir. Katmanları ayrı görünce ikisi de beş dakikalık düzeltmedir. Sınav bu konuyu sever, çünkü hassasiyeti ödüllendirir: tam gereken fiiller, tam gereken kaynaklar, küme yöneticisinden ödünç hiçbir şey yok.

Kavramlar

Kimlik anahtar ve sertifika imza isteğiyle başlar. Özel anahtar üret, kullanıcı adı CN alanında ve gruplar O alanında bir istek kur, küme CA ile imzala (veya kümeye imzalat); API sunucusunun güvendiği kimliğin olur. kubeconfig dosyası sonra bağlam başına üç şeyi paketler: küme (sunucu artı CA), kullanıcı (sertifika artı anahtar) ve ad alanı. kubectl config use-context canlı üçlüyü değiştirir; kubectl config get-contexts tabloyu gösterir. Komutu varken bu dosyaları elle düzenleme.

RBAC kurallardaki kaynaklara fiil verir, kuralları öznelere bağlar ve ad alanı sınırında durur (küme kapsamlı türler hariç). Rol bir ad alanının kurallarını tutar; RolBağlama onları o ad alanındaki kullanıcı, grup veya servis hesaplarına bağlar. KümeRolü artı KümeRolBağlaması küme çaplı çifttir. API sunucusu varsayılan reddeder; her ret eşleşen bağlı kural yok demektir: hatadan kaynağı, fiili ve ad alanını oku, sonra tam o kuralı yaz.

Uygulamalı örnek

Tek ad alanında salt okunur denetçi, yakınında küme yöneticisi yok:

# kimlik
openssl genrsa -out auditor.key 2048
openssl req -new -key auditor.key -out auditor.csr -subj "/CN=auditor"
# küme CA ile imzala, sonra bağlamı kur
kubectl config set-credentials auditor \
  --client-certificate=auditor.crt --client-key=auditor.key
kubectl config set-context auditor-ctx \
  --cluster=kubernetes --user=auditor --namespace=demo
# en dar yetki: yalnız demoda pod get ve list
kubectl create role pod-reader \
  --verb=get,list --resource=pods -n demo
kubectl create rolebinding auditor-read \
  --role=pod-reader --user=auditor -n demo
kubectl auth can-i list pods -n demo --as=auditor
# evet
kubectl auth can-i delete pods -n demo --as=auditor
# hayır

kubectl auth can-i --as sınavın süper gücüdür: kimlik değiştirmeden her öznenin hakkını sınar.

Sınav notları

Ad alanını unutmak kuralı varsayılana bağlar, iş yükü başka yerdedir: ad alanı uyumsuzluğu en büyük RBAC tuzağıdır. --as hakkı denetler ama gerçek çağrılarda o kullanıcı gibi kimlik doğrulamaz; sınama için istediğin tam budur. Ve servis hesaplarına aynı özeni göster: varsayılanları genişletmek yerine rolleri açıkça bağla.