RBAC nedir?

Role-Based Access Control kavramını öğrenirsin.

RBAC nedir?

RBAC (Role-Based Access Control), Kubernetes API'sinde kimin (kullanıcı, grup, ServiceAccount), hangi kaynaklar üzerinde, hangi işlemleri yapabileceğini belirler. Varsayılan olarak her şey yasaktır; izinler açıkça verilir. Dört nesne vardır:

Role / ClusterRole: izin kümesi (ne yapılabilir).
RoleBinding / ClusterRoleBinding: izni bir özneye bağlar (kim yapabilir).

$ kubectl auth can-i delete pods -n prod --as ayse
no
$ kubectl auth can-i list pods -n dev --as ayse
yes

auth can-i

kubectl auth can-i, bir işlemin yapılıp yapılamayacağını sorar. --as başka bir kullanıcı ya da ServiceAccount adına sormayı sağlar (bunun için de yetki gerekir); --list tüm izinleri listeler:

kubectl auth can-i create deployments -n dev
kubectl auth can-i get secrets --as system:serviceaccount:dev:api -n dev
kubectl auth can-i --list -n dev --as ayse

Uygulama İzinleri sorgula

Üç komut yaz: dev namespace'inde deployment oluşturabilir misin; ayse adına prod'da pod silebilir mi; ayse'nin dev'deki tüm izinlerini listele.

Örnek çözümü göster

kubectl auth can-i create deployments -n dev
kubectl auth can-i delete pods -n prod --as ayse
kubectl auth can-i --list -n dev --as ayse

Kendini test et

RBAC'ta izin verilmemiş bir işlem için varsayılan sonuç nedir?
- Yöneticiye sorulur
- Reddedilir; RBAC yalnızca izin ekler, yasak kuralı yoktur
- İzin verilir
- Uyarıyla izin verilir
Cevabı göster

Reddedilir; RBAC yalnızca izin ekler, yasak kuralı yoktur — RBAC toplamsaldır: izinlerin birleşimi geçerlidir.

Başka bir kullanıcı adına izin sor.

kubectl auth can-i delete pods -n prod ____ ayse

Cevabı göster

kubectl auth can-i delete pods -n prod --as ayse

Eşleştir.

Role

Ne yapılabilir
RoleBinding

Kim yapabilir
auth can-i

İzin sorgusu
varsayılan

Reddet

Sıradaki ders: Role ve ClusterRole

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler