Meydan okuma - RBAC

ServiceAccount ve RoleBinding yazarsın.

Meydan okuma: en az yetki

Bir CI sistemi yalnızca magaza namespace'inde deployment'ların image'ını güncelleyip durumunu izleyebilmeli; Secret okuyamamalı, başka namespace'lere dokunamamalı. Bunun için:

ci ServiceAccount'u
Yalnızca deployment'lar için get, list, watch, patch izni veren bir Role
İkisini bağlayan RoleBinding
auth can-i ile sınama

kubectl auth can-i patch deployments -n magaza --as system:serviceaccount:magaza:ci   # yes
kubectl auth can-i get secrets -n magaza --as system:serviceaccount:magaza:ci          # no
kubectl auth can-i patch deployments -n prod --as system:serviceaccount:magaza:ci     # no

Uygulama Rol

Bir Role YAML'ı yaz: adı ci-dagitici, namespace'i magaza; tek kural: apiGroups: ["apps"], resources: ["deployments"], verbs: ["get", "list", "watch", "patch"].

Örnek çözümü göster

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: ci-dagitici
  namespace: magaza
rules:
  - apiGroups: ["apps"]
    resources: ["deployments"]
    verbs: ["get", "list", "watch", "patch"]

Uygulama Kimlik, bağlama ve sınama

Dört komut yaz: magaza'da ci ServiceAccount'unu oluştur; magaza'da ci-dagitici rolünü magaza:ci'ye veren ci-dagitici RoleBinding'ini oluştur; system:serviceaccount:magaza:ci adına magaza'da deployment yamalama iznini sorgula; aynı kimlikle magaza'da Secret okuma iznini sorgula.

Örnek çözümü göster

kubectl create serviceaccount ci -n magaza
kubectl create rolebinding ci-dagitici --role=ci-dagitici --serviceaccount=magaza:ci -n magaza
kubectl auth can-i patch deployments -n magaza --as system:serviceaccount:magaza:ci
kubectl auth can-i get secrets -n magaza --as system:serviceaccount:magaza:ci

Kendini test et

kubectl set image için hangi fiil gerekir?
- patch (ve okumak için get)
- create
- delete
- escalate
Cevabı göster

patch (ve okumak için get) — set image deployment'ı yamalar.

Deployment'ların API grubunu yaz.

rules:
  - apiGroups: [____]
    resources: ["deployments"]

Cevabı göster

rules:
  - apiGroups: ["apps"]
    resources: ["deployments"]

Eşleştir.

ci ServiceAccount

CI kimliği
Role

Yalnızca magaza
patch

Image güncelleme
secrets: no

Gizlilere erişim yok

Sıradaki ders: Meydan okuma - İleri seviye projesi

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler