如何通过 Kubernetes(k8s) 配置应用的权限控制和角色管理？

在Kubernetes里管理权限主要用RBAC（基于角色的访问控制）。简单来说分三步：1. 创建角色（Role/ClusterRole）定义能干啥（比如读Pod、改Deployment）；2. 创建绑定（RoleBinding/ClusterRoleBinding）把角色分配给具体用户、组或服务账号；3. 应用配置时要指定服务账号。比如用yaml定义个只能看pod的角色，再把这个角色绑到某个服务账号，最后在deployment里用这个账号就行了。注意ClusterRole是全局权限，Role只在当前命名空间生效。

在Kubernetes中实现权限控制与角色管理的核心是通过RBAC（基于角色的访问控制）模型，结合ServiceAccount、Role、ClusterRole、RoleBinding及ClusterRoleBinding对象。以下是关键步骤：

1. 命名空间隔离：

   • 使用kubectl create namespace <namespace>创建独立命名空间，隔离不同环境（如dev/prod）。

2. 角色定义：

   • Role（命名空间级权限）：通过rules字段定义对特定资源（如pods、services）的操作权限（get/list/update等）。
   • ClusterRole（集群级权限）：适用于非命名空间资源（如nodes）或跨命名空间的权限聚合。

3. 角色绑定：

   • RoleBinding：将Role与用户/ServiceAccount绑定到特定命名空间。
   • ClusterRoleBinding：将ClusterRole权限全局授予主体（慎用）。

4. 服务账户管理：

   • 为每个微服务创建专用ServiceAccount（kubectl create serviceaccount <name>），避免使用default账户。
   • 在Deployment中通过serviceAccountName字段显式关联Pod与ServiceAccount。

5. 最小权限原则：

   • 通过kubectl auth can-i --as=system:serviceaccount:<namespace>:<sa> <verb> <resource>验证权限是否按需分配。
   • 定期审计RoleBinding，清理未使用的权限。

6. 集群级权限控制：

   • 使用ClusterRole配合aggregationRule聚合通用权限（如监控组件需要的只读权限）。
   • 通过kubeconfig文件管理外部用户证书/OIDC集成，结合RBAC细化访问控制。

补充实践：

• 通过kubectl describe rolebinding检查权限映射关系
• 使用工具如kubeaudit进行权限合规性扫描
• 对敏感操作（如exec/port-forward）实施审批流程控制

1. 创建ServiceAccount：为应用分配专用ServiceAccount，避免使用default账号。命令示例：kubectl create serviceaccount <serviceaccount-name> -n <namespace>

2. 定义角色(Role/ClusterRole)：

   • Role（命名空间级别）：通过YAML定义资源操作权限，如rules.apiGroups/resource/verbs。示例：

     kind: Role
     rules:
     - apiGroups: [""]
     resources: ["pods"]
     verbs: ["get", "list"]

   • ClusterRole（集群级别）：适用于跨命名空间权限，如访问Nodes或CRD。

3. 绑定角色(RoleBinding/ClusterRoleBinding)：

   • 将ServiceAccount与角色关联。命名空间内使用RoleBinding，跨命名空间使用ClusterRoleBinding。示例命令： kubectl create rolebinding <binding-name> --role=<Role名> --serviceaccount=<namespace>:<serviceaccount-name> -n <namespace>

4. 配置Pod使用ServiceAccount：在Deployment/Pod的YAML中指定serviceAccountName字段，确保容器继承权限。

5. 权限验证：

   • 使用kubectl auth can-i <verb> <resource> --as=system:serviceaccount:<namespace>:<serviceaccount-name>进行权限检查
   • 通过临时Pod执行kubectl exec命令测试实际访问能力

6. 权限更新与审计：

   • 通过kubectl edit role/<role-name>动态调整权限规则
   • 结合审计日志(audit-logging)监控异常访问行为

注：生产环境建议遵循最小权限原则，定期使用工具如kube-bench进行RBAC配置合规性检查。