RBAC 角色的类型是什么?

• Kubernetes 角色 的作用域限定为特定名称空间 (例如部署或服务) 中的资源。
• Kubernetes _集群角色的_作用域可以是集群范围内的资源（例如工作节点），也可以是命名空间范围内的资源（例如 Pod），这些资源可在每个命名空间中找到。

什么是 RBAC 角色绑定和集群角色绑定？

角色绑定将 RBAC 角色或集群角色应用于特定名称空间。 使用角色绑定来应用角色时，即授予用户对特定名称空间中特定资源的访问权。 使用角色绑定来应用集群角色时，即授予用户对可在每个名称空间中找到的作用域限定为名称空间的资源（如 pod）的访问权，但仅限于访问该特定名称空间内的资源。

集群角色绑定将 RBAC 集群角色应用于集群中的所有名称空间。 使用集群角色绑定来应用集群角色时，即授予用户对集群范围资源（如工作程序节点）的访问权，或授予用户对每个名称空间中作用域限定为名称空间的资源（如 pod）的访问权。

在我的集群中，这些角色具体是什么样的？

如果您希望用户能够在集群内部与 Kubernetes 资源进行交互，则必须通过 IBM Cloud 的IAM服务访问角色，为用户分配对一个或多个命名空间的访问权限。 每位被分配了服务访问角色的用户，都会自动被分配一个相应的 RBAC 集群角色。 这些 RBAC 集群角色是预定义的，并允许用户与集群中的 Kubernetes 资源进行交互。 此外，还会创建角色绑定以将集群角色应用于特定名称空间，或创建集群角色绑定以将集群角色应用于所有名称空间。

如需进一步了解每个 RBAC 角色允许执行的操作，请参阅《 IBM Cloud 》中的“IAM 服务访问角色”参考主题。 要查看每个 RBAC 角色授予的对单个 Kubernetes 资源的许可权，请查看每个 RBAC 角色的 Kubernetes 资源许可权。

我可以创建自定义角色或集群角色吗？

如果要创建自己的定制 RBAC 策略，请确保不编辑集群中的现有 IBM 角色绑定，或者创建与现有 IBM 绑定同名的定制角色绑定。 您对 IBM提供的 RBAC 角色绑定所作的更改不会在更新时保留。

view、edit、admin 和 cluster-admin 集群角色是预定义角色，当您为用户分配相应的 IBM Cloud IAM 服务访问角色时，这些角色会自动创建。 要授予其他 Kubernetes 许可权，可以创建定制 RBAC 许可权。 自定义 RBAC 角色是作为补充存在的，不会更改或覆盖您可能拥有的任何服务访问角色中的 RBAC 角色。 请注意，要创建自定义 RBAC 权限，您必须拥有 “IAM Manager”服务访问角色，或者拥有“管理员”平台角色（该角色会授予您“cluster-admin”Kubernetes RBAC 角色）。 不过，如果您自行管理自定义的 Kubernetes RBAC角色，则其他用户无需IAM服务访问角色。

何时需要使用定制集群角色绑定和角色绑定?

您可能希望授权谁可以在集群中创建和更新 pod。 使用 Pod 安全策略 (PSP) 时，您可以使用集群自带的现有集群角色绑定，也可以自行创建。

您可能还希望将附加组件集成到集群。 例如，在群集中设置 Helm 时。

为用户、组或服务帐户创建定制 RBAC 许可权

当您分配相应的 IBM Cloud IAM 服务访问角色时，系统会自动创建 view、edit、admin 和 cluster-admin 集群角色。 需要集群访问策略的详细程度高于这些预定义许可权所允许的详细程度吗？ 没问题！ 您可以创建定制 RBAC 角色和集群角色。

您可以将定制 RBAC 角色和集群角色分配给个别用户，用户组或服务帐户。 为组创建绑定时，会影响添加到组中或从组中除去的任何用户。 将用户添加到组时，除了您授予用户的任何单个访问权之外，他们还会获得组的访问权。 如果从组中除去用户，那么将撤销其访问权。 请注意，您无法将服务账户添加到访问组中。

如果您想为在 Pod 中运行的容器进程（例如持续交付工具链）分配访问权限，可以使用 Kubernetes ServiceAccounts。 如需查看演示如何为Travis和 Jenkins 设置服务账户，并为这些服务账户分配自定义RBAC角色的教程，请参阅博客文章 Kubernetes ServiceAccounts 用于自动化系统。

为避免引发破坏性变更，请勿修改预定义的 view、edit、admin 和 cluster-admin 集群角色。 自定义 RBAC 角色是作为补充存在的，不会更改或覆盖您在 IBM Cloud IAM 服务访问角色中可能拥有的任何 RBAC 角色。

• 名称空间访问权：要允许用户、访问组或服务帐户访问特定名称空间中的资源，请选择下列其中一个组合：

  • 创建角色，然后通过角色绑定来应用该角色。 要控制对仅在一个名称空间（如应用程序部署）中存在的唯一资源的访问，此选项非常有用。
  • 创建集群角色，然后通过角色绑定来应用该角色。 要控制对一个名称空间中常规资源（如 pod）的访问，此选项非常有用。

• 集群范围的访问权：要允许用户或访问组访问集群范围的资源或访问所有名称空间中的资源，请创建集群角色，然后通过集群角色绑定来应用该角色。 要控制对未将作用域限定为名称空间的资源（如工作程序节点）的访问，或控制对集群中所有名称空间中资源（如每个名称空间中的 pod）的访问，此选项非常有用。

• 请登录您的账户。 如果适用，请将相应的资源组设定为目标。 设置集群的上下文。

• 确保您拥有 所有命名空间的管理器 IAM 服务访问角色 或管理员平台角色。

• 若要为单个用户或访问组中的用户授予访问权限，请确保该用户或组已在 IBM Cloud Kubernetes Service 服务级别被分配了至少一个IAM平台访问角色。

要创建自定义 RBAC 权限，

1. 创建类似于以下内容的 .yaml 文件以定义 role 或 cluster role。

   kind: Role
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
       namespace: default
       name: my_role
   rules:
   - apiGroups: [""]
       resources: ["pods"]
       verbs: ["get", "watch", "list"]
   - apiGroups: ["apps", "extensions"]
       resources: ["daemonsets", "deployments"]
       verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
   

   了解 YAML 参数

   参数	描述
   kind	使用 Role 来授予对特定名称空间中资源的访问权。 使用 ClusterRole 来授予对集群范围资源（如工作程序节点）的访问权，或授予对所有名称空间中作用域限定为名称空间的资源（如 pod）的访问权。
   metadata.namespace	仅限 kind 为 Role 的情况：指定授予其访问权的 Kubernetes 名称空间。
   rules.apiGroups	指定您希望用户能够与之交互的 Kubernetes API组，例如 "apps"、"batch" 或 "extensions"。 要访问 REST 路径 api/v1 上的核心 API 组，请将该组保留为空：[""]。
   rules.resources	请指定您要授予访问权限的 Kubernetes 资源类型，例如 "daemonsets"、"deployments"、"events" 或 "ingresses"。 如果指定 "nodes"，那么 kind 必须为 ClusterRole。
   rules.verbs	请指定希望用户能够执行 的操作类型，例如 "get"、"list"、"describe"、"create" 或 "delete"。

2. 在集群中创建角色或集群角色。

   kubectl apply -f my_role.yaml
   

3. 验证角色或集群角色是否已创建。

   • 角色：

       kubectl get roles -n <namespace>
       ```
   * 集群角色：
   ```sh {: pre}
       kubectl get clusterroles
       ```
   

4. 通过创建 .yaml 文件将用户绑定到角色或集群角色。 记下用于每个主体名称的唯一 URL。

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
       name: my_role_binding
       namespace: default
   subjects:
   - kind: User
       name: IAM#user1@example.com
       apiGroup: rbac.authorization.k8s.io
   - kind: Group
       name: team1
       apiGroup: rbac.authorization.k8s.io
   - kind: ServiceAccount
       name: <service_account_name>
       namespace: <kubernetes_namespace>
   roleRef:
       kind: Role
       name: my_role
       apiGroup: rbac.authorization.k8s.io
   

   了解 YAML 参数

   参数	描述
   kind	若要指定特定于命名空间的 Role 或 ClusterRole ，请使用 RoleBinding 。 对于集群范围的 ClusterRoleBinding，指定 ClusterRole。
   apiVersion	使用 rbac.authorization.k8s.io/v1。
   metadata.namespace	对于类型 RoleBinding ：指定被授予访问权限的 Kubernetes 命名空间。 对于 kind 为 ClusterRoleBinding 的情况：请勿使用 namespace 字段。
   metadata.name	对角色绑定或集群角色绑定命名。
   subjects.kind	指定以下类型之一: User: 将 RBAC 角色或集群角色绑定到帐户中的单个用户。 Group: 将 RBAC 角色或集群角色绑定到帐户中的 IBM Cloud IAM 访问组 。 ServiceAccount: 将 RBAC 角色或集群角色绑定到集群中的名称空间中的服务帐户。
   subjects.name	User:将单个用户的电子邮件地址追加到 IAM# ，如下所示： IAM#user@email.com. Group:指定 IBM Cloud IAM 访问组的名称。 对于 ServiceAccount：指定服务帐户名称。
   subjects.apiGroup	User 或 Group ：使用 rbac.authorization.k8s.io。 对于 ServiceAccount：请勿包含此字段。
   subjects.namespace	ServiceAccount only：指定服务账户部署到的 Kubernetes 命名空间的名称。
   roleRef.kind	在角色 kind 文件中输入与 .yaml 相同的值：Role 或 ClusterRole。
   roleRef.name	输入角色 .yaml 文件的名称。
   roleRef.apiGroup	使用 rbac.authorization.k8s.io。

5. 在集群中创建角色绑定或集群角色绑定资源。

   kubectl apply -f my_role_binding.yaml
   

6. 验证绑定是否已创建。

   kubectl get rolebinding -n <namespace>
   

7. （可选）要强制将相同的用户访问级别应用于其他名称空间，可以将这些角色或集群角色的角色绑定复制到其他名称空间。

   1. 将角色绑定从一个名称空间复制到其他名称空间。

       kubectl get rolebinding <role_binding_name> -o yaml | sed 's/<namespace_1>/<namespace_2>/g' | kubectl -n <namespace_2> create -f -
       ```
       例如，将 `custom-role` 角色绑定从 `default` 命名空间复制到 `testns` 命名空间。
       ```sh {: pre}
       kubectl get rolebinding custom-role -o yaml | sed 's/default/testns/g' | kubectl -n testns create -f -
       ```
   2. 验证角色绑定是否已复制。 如果已将 IBM Cloud IAM 访问组添加到角色绑定，那么会分别添加该组中的每个用户，而不会作为访问组标识添加。
   ```sh {: pre}
       kubectl get rolebinding -n <namespace_2>
       ```
   

既然您已创建并绑定了定制 Kubernetes RBAC 角色或集群角色，就应该让用户进行操作。 要求用户测试根据其角色有权完成的操作，例如删除 pod。

通过聚集集群角色扩展现有许可权

可以通过聚集或组合集群角色及其他集群角色，扩展用户的现有许可权。 当您为用户分配 IBM Cloud 服务访问角色时，该用户将被添加到 相应的 Kubernetes RBAC集群角色中。 不过，您可能希望允许某些用户执行更多操作。

例如，拥有命名空间范围的 admin 集群角色的用户无法使用 kubectl top pods 命令查看该命名空间中所有Pod的指标。 您可以聚集集群角色，以便 admin 集群角色中的用户有权运行 top pods 命令。 如需了解更多信息，请参阅 Kubernetes 文档。

Error from server (Forbidden): pods.metrics.k8s.io is forbidden: User "IAM#myname@example.com" can't list resource "pods" in API group "metrics.k8s.io" in the namespace "mynamespace"

检查 RBAC 角色

在 IBM Cloud Kubernetes Service 集群中验证自定义 RBAC 或同步 IAM 服务对 RBAC 角色的访问权限。

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  creationTimestamp: 2018-05-23T14:34:24Z
  name: ibm-view
  namespace: default
  resourceVersion: "8192510"
  selfLink: /apis/rbac.authorization.k8s.io/v1/namespaces/default/rolebindings/ibm-view
  uid: 63f62887-5e96-11e8-8a75-b229c11ba64a
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: view
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: IAM#user@email.com
- apiGroup: rbac.authorization.k8s.io
  kind: group
  name: team1

Kubernetes 服务访问角色和相应的 RBAC 角色

下表列出了每个服务访问角色及其对应 RBAC 角色所授予的“Kubernetes”资源权限。