Ders 4.2: Kubernetes RBAC ve hizmet hesapları
Kubernetes'teki her pod bir hizmet hesabıyla çalışır ve kümenin API'si o hesabın ne yapabileceğine rol tabanlı erişim denetimiyle (RBAC) karar verir: Role'ler ve ClusterRole'ler izinleri listeler, RoleBinding'ler ve ClusterRoleBinding'ler onları kullanıcılara, gruplara ve hizmet hesaplarına verir. Web pod'unun hesabı bir küme yöneticisiyse, web sitesindeki tek bir zafiyet bütün kümeyi teslim eder. Laboratuvarda tam olarak bunu, 'geçici' bir hata ayıklama bağlamasını buluyor, kubectl auth can-i ile neye izin verdiğini kanıtlıyor, onu kaldırıyor ve dar bir Role ile değiştiriyorsun.
17 dk
Bu derste öğreneceklerin
- Hizmet hesaplarını ve RBAC nesnelerini açıklamak
- ClusterRoleBinding'leri okumak
- İzinleri kubectl auth can-i ile sınamak
- Bir hizmet hesabını hangi pod'un kullandığını bulmak
- Geniş bir bağlamayı dar bir Role ile değiştirmek
Temel terimler
- Hizmet hesabı
- Bir pod'un Kubernetes API'siyle konuşmak için kullandığı kimlik; belirteci pod'a bağlanır.
- Role / ClusterRole
- Kaynaklar üzerinde izin verilen fiillerin listesi; tek bir ad alanında / küme genelinde.
- RoleBinding / ClusterRoleBinding
- Bir Role'ü ya da ClusterRole'ü kullanıcılara, gruplara ya da hizmet hesaplarına verir; bir ad alanında / her yerde.
- cluster-admin
- Her kaynak üzerinde her izne sahip yerleşik ClusterRole.
- kubectl auth can-i
- Bir kimliğin bir eylemi yapıp yapamayacağını API'ye sorar.
← Yanlış pozitifler ve ayar · Tüm dersler · AES ile dosya şifrelemek →