Kubernetes 为用户使用 Dashboard 创建 RBAC 权限

文章目录

• 文章目录
• 一、创建 Namespace
• 二、创建 ServiceAccount
• 三、创建 Namespace 的 RBAC 权限
  • 1、方式一：使用系统提供角色分配 Namespace 权限
  • 2、方式二：使用自定义角色分配 Namespace 权限
• 四、解决登录 Dashboard 不能选择 Namespace 问题

系统环境：

• kubernetes 版本：1.16.3

参考地址：

• Kubernetes RBAC 官方文档
• 博文示例文件 Github 地址：https://github.com/my-dlq/blog-example/tree/master/kubernetes/kubernetes-dashboard-rbac

博文简介：

在我们正常开发过程中，经常要有很多开发组，每个组的应用是属于不同的项目，要分别为他们设置不同的 Namespace，方便让他们资源互不影响。常用的做法是为每个组创建各自的 Namespace，然后给他们 Dashboard 地址和 Token，如何分配 Token 的 RBAC 权限大小，正是我们需要考虑的问题。

常用做法是归属于哪个组的 Namespace 就拥有这个 Namespace 的 Admin 权限，接下来将介绍下，如何分配一个只拥有管理他们自己 Namespace 的权限的 Token。

一、创建 Namespace

这里先创建一个新的 Namespace 空间，用于后面演示。

rbac-namespace.yaml

kind: Namespace
apiVersion: v1
metadata:
  name: rbac-namespace

创建 Namespace：

$ kubectl apply -f rbac-namespace.yaml

二、创建 ServiceAccount

创建一个属于上面新建 Namespace 的服务账户，后面对其绑定权限，再获取其 Token 给空间的管理人员，方便其登录 Dashboard 且拥有一定的权限。

rbac-service-account.yaml

apiVersion: v1
kind: ServiceAccount
metadata:
  name: rbac-service-account
  namespace: rbac-namespace     #指定上面创建的 Namespace

创建 ServiceAccount：

$ kubectl apply -f rbac-service-account.yaml

获取 ServiceAccount 的 Token：

注意修改 grep 后面的 ServiceAccount 名称和 -n 后面的 Namespace 名称。

$ kubectl describe secret/$(kubectl get secret -n rbac-namespace | grep rbac-service-account | awk '{print $1}') -n rbac-namespace

然后就可与看到 Token 串，需要将这个保存，方便后面登录 Dashboard，Token 如下:

eyJhbGciOiJSUzI1NiIsImtpZCI6IlZBZWNPbTNaQ2hLUWRhRFFU......（略）

三、创建 Namespace 的 RBAC 权限

这里有两种方法来对上面创建的服务账户绑定角色，进而赋予账户权限。

• 方式一： 使用系统提供角色分配 Namespace 权限，系统提供了 admin(读、写)、view(读)、edit(写) 三种角色，可以直接与服务账户绑定进行赋权。
• 方式二： 使用自定义角色分配 Namespace 权限，这种是创建一个角色绑定一定权限，然后将角色绑定服务账户，进行赋权。

1、方式一：使用系统提供角色分配 Namespace 权限

这里创建一个 RoleBinding 来绑定系统提供的 ClusterRole，其中 Kubernetes 默认提供了三种集群角色：

• edit： 能够提供对某个 Namespace 写权限。
• view： 能够提供对某个 Namespace 读权限。
• admin： 管理员权限，能够提供对某个 Namespace 读、写权限。

rbac-role-binding-system.yaml

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: rbac-role-binding
  namespace: rbac-namespace     #指定创建的 Namespace
subjects:
  - kind: ServiceAccount
    name: rbac-service-account  #指定创建的 ServiceAccount
    namespace: rbac-namespace   #指定创建的 Namespac
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: admin                   #使用系统提供三种角色 admin、edit、view

注意：这里使用 RoleBinding 和系统提供的 ClusterRoleBinding 绑定，而不是 ClusterRoleBinding，如果想赋予服务账户集群权限（管理多个 Namespace）可以使用 ClusterRoleBinding。

创建 RoleBinding：

$ kubectl apply -f rbac-role-binding.yaml

2、方式二：使用自定义角色分配 Namespace 权限

创建一个角色，给角色分配一定的权限，然后创建还得添加一个角色绑定对象，将角色和绑定到服务账户上，内容如下：

具体权限分配，可以参考博客最上面的官方文档地址。

rbac-role-binding-custom.yaml

#role
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: rbac-role
  namespace: rbac-namespace                 #指定 Namespace
rules:                                      #权限分配
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "watch", "list"]
  - apiGroups: ["extensions", "apps"]
    resources: ["deployments","statefulsets"]
    verbs: ["get", "list", "watch", "create", "update", "patch", "delete"] 
---
#role binding
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: rbac-role-binding
  namespace: rbac-namespace                 #指定 Namespace
subjects:
  - kind: ServiceAccount
    name: rbac-service-account              #指定 ServiceAccount
    namespace: rbac-namespace               #指定 Namespace
roleRef:
  kind: Role
  name: rbac-role
  apiGroup: rbac.authorization.k8s.io

创建角色与角色绑定绑定对象：

$ kubectl apply -f rbac-role-binding.yaml

四、解决登录 Dashboard 不能选择 Namespace 问题

在访问 Dashboard 时，输入 token 后进入界面，但是会发现进入的是默认的 default 空间，然后想点击 Namespace 选择框来切换到自定义空间，但是发现点击后可选择的列表为空。

这个问题经过一番考虑，是由于配置的 ServiceAccount 没有集群 Namespace 列表的权限，所以无法进行选择。解决这个问题很简单，只需要这里需要给 ServiceAccount 分配一个拥有 Namespace 列表的 ClusterRole 进行绑定即可。

rbac-cluster-role-binding.yaml

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: rbac-namespace-role 
rules:  
  - apiGroups: [""]                     #配置权限，配置其只用于 namespace 的 list 权限
    resources: ["namespaces"]
    verbs: ["list"]
---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: rbac-default-role-binding
subjects:
  - kind: ServiceAccount
    name: rbac-service-account          #配置为自定义的 ServiceAccount
    namespace: rbac-namespace			#指定为服务账户所在的 Namespace
roleRef:
  kind: ClusterRole
  name: rbac-namespace-role             #配置上面的 Role
  apiGroup: rbac.authorization.k8s.io

执行命令创建 rbac 权限：

$ kubectl apply -f rbac-cluster-role.yaml

然后再次进入 Dashboard 点击 Namespace 框，这时候应该就能看到 Namespace 列表了。

到这里差不多配置完成，接下来就是拿着 Token 登录 Dashboard，进入后选择新创建的 Namespace，然后执行一些需要权限才能操作的命令（例如，创建与查看 Secret）进行测试。