如何通过 Kubernetes(k8s) 配置应用的权限控制和角色管理？

1. 创建ServiceAccount：为应用分配专用ServiceAccount，避免使用default账号。命令示例：kubectl create serviceaccount <serviceaccount-name> -n <namespace>

2. 定义角色(Role/ClusterRole)：

   • Role（命名空间级别）：通过YAML定义资源操作权限，如rules.apiGroups/resource/verbs。示例：

     kind: Role
     rules:
     - apiGroups: [""]
     resources: ["pods"]
     verbs: ["get", "list"]

   • ClusterRole（集群级别）：适用于跨命名空间权限，如访问Nodes或CRD。

3. 绑定角色(RoleBinding/ClusterRoleBinding)：

   • 将ServiceAccount与角色关联。命名空间内使用RoleBinding，跨命名空间使用ClusterRoleBinding。示例命令： kubectl create rolebinding <binding-name> --role=<Role名> --serviceaccount=<namespace>:<serviceaccount-name> -n <namespace>

4. 配置Pod使用ServiceAccount：在Deployment/Pod的YAML中指定serviceAccountName字段，确保容器继承权限。

5. 权限验证：

   • 使用kubectl auth can-i <verb> <resource> --as=system:serviceaccount:<namespace>:<serviceaccount-name>进行权限检查
   • 通过临时Pod执行kubectl exec命令测试实际访问能力

6. 权限更新与审计：

   • 通过kubectl edit role/<role-name>动态调整权限规则
   • 结合审计日志(audit-logging)监控异常访问行为

注：生产环境建议遵循最小权限原则，定期使用工具如kube-bench进行RBAC配置合规性检查。

在Kubernetes里管理权限主要用RBAC（基于角色的访问控制）。简单来说分三步：1. 创建角色（Role/ClusterRole）定义能干啥（比如读Pod、改Deployment）；2. 创建绑定（RoleBinding/ClusterRoleBinding）把角色分配给具体用户、组或服务账号；3. 应用配置时要指定服务账号。比如用yaml定义个只能看pod的角色，再把这个角色绑到某个服务账号，最后在deployment里用这个账号就行了。注意ClusterRole是全局权限，Role只在当前命名空间生效。

Kubernetes的权限控制与角色管理主要通过RBAC（Role-Based Access Control）实现，核心步骤如下：

1. 启用RBAC：确保API Server启动参数包含--authorization-mode=RBAC。
2. 定义角色（Role/ClusterRole）：
   • Role作用于单个命名空间，通过YAML定义资源操作权限（如get、list、create）。
   • ClusterRole作用于集群范围（如访问nodes、persistentvolumes）。
3. 绑定角色（RoleBinding/ClusterRoleBinding）：
   • 将角色与用户/服务账户（ServiceAccount）绑定，RoleBinding限定命名空间，ClusterRoleBinding全局生效。
4. 服务账户（ServiceAccount）：为Pod分配特定ServiceAccount实现精细化权限控制。

示例配置：

# 创建开发命名空间只读角色
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: dev
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]

# 绑定服务账户
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: dev
subjects:
- kind: ServiceAccount
  name: ci-cd-bot
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

最佳实践：

• 遵循最小权限原则
• 使用命名空间隔离不同团队/环境
• 定期审计权限（kubectl get rolebindings --all-namespaces）
• 通过kubectl auth can-i命令验证权限