Cộng đồng blog

TRANG CHỦDành cho nhà phát triển Cộng đồng Blog blog kỹ sư SCSK Phần 3: ClusterRoleBinding của xem tỷ lệ cá cược bóng đá là gì? Tác động của việc cấp vai trò Quản trị viên cho toàn bộ cụm

Phần 3: ClusterRoleBinding của xem tỷ lệ cá cược bóng đá là gì? Tác động của việc cấp vai trò Quản trị viên cho toàn bộ cụm

Giới thiệu về quản lý quyền xem tỷ lệ cá cược bóng đáBlog Kỹ sư SCSK

Xin chào, tôi là Ishikawa đến từ SCSK

Lần trước, chúng tôi đã kiểm tra đặc quyền "Quản trị viên" trong một dự án cụ thể Lần này, chúng ta sẽ tập trung vào sự khác biệt giữa RoleBinding (chỉ dành cho một dự án cụ thể) và ClusterRoleBinding (cho toàn bộ cụm), là các cơ chế cấp quyền của xem tỷ lệ cá cược bóng đá Nếu chúng tôi cấp vai trò Quản trị viên cho người dùng bằng ClusterRoleBinding, người dùng đó sẽ có những đặc quyền gì?

Loạt

Mục lục

  1. ClusterRoleBinding
  2. Cấp vai trò Quản trị viên cho người dùng bằng ClusterRoleBinding
  3. Xác nhận quyền truy cập vào tất cả các dự án hiện có
  4. Xác nhận quyền truy cập vào dự án mới tạo
  5. Xác nhận quyền truy cập vào tài nguyên phạm vi cụm (Nút, PV)
  6. Lưu ý rằng đặc quyền truy cập rất mạnh mẽ
  7. Tóm tắt

1 ClusterRoleBinding là gì?

Thông thường, Ràng buộc vai trò được sử dụng để cấp quyền Nó liên kết “ai có thẩm quyền” và “trong dự án nào”
ClusterRoleBinding, mặt khác, xác định ai có quyền trên toàn cụm (trong tất cả các dự án)

2 Cấp vai trò Quản trị viên cho người dùng bằng ClusterRoleBinding

Người dùng xác minhocpadmin01và cấp vai trò Quản trị viên cho toàn bộ cụm
※Đối với thao tác nàyquản trị viên cụmCần có sự cho phép

# Người dùng đã tạo$ oc tạo người dùng ocpadmin01#Tạo ClusterRoleBinding$ oc chính sách adm add-cluster-role-to-user quản trị viên ocpadmin01"ocpadmin01"

thêm vai trò cho người dùngadd-cluster-vai trò cho người dùng

3 Xác nhận quyền truy cập vào tất cả các dự án hiện có

ocpadmin01Đăng nhập với tư cách người dùng và thử truy cập vào dự án mà bạn không tạo

# Đăng nhập$ oc đăng nhập-uocpadmin01..chohttps://apixxx... (xem tỷ lệ cá cược bóng đá)Tên người dùng: ocpadmin0183dự án, danh sách đã bị chặn Bạn có thể liệt kê tất cả các dự án với'oc dự án'Sử dụng dự án"ocp-prj01".

# Lấy danh sách dự án$ oc dự án(Tất cả dự án sẽ được hiển thị)

# Thao túng tài nguyên trong dự án của người khác$ oc nhận nhóm-nbảng điều khiển xem tỷ lệ cá cược bóng đá(Danh sách nhóm sẽ được hiển thị)$ oc xóa nhóm<tên nhóm> -nbảng điều khiển xem tỷ lệ cá cược bóng đá(Xóa thành công)

Không thể truy cập đượcbảng điều khiển xem tỷ lệ cá cược bóng đáChúng tôi đã xác nhận rằng các đặc quyền của Quản trị viên (tạo, xóa, cập nhật) cũng có thể được thực hiện đối với các dự án hệ thống như dự án

4 Xác nhận quyền truy cập vào dự án mới được tạo

Điều mạnh mẽ về quyền này là nó tự động áp dụng cho "các dự án được tạo trong tương lai"
Dự án mới với người dùng quản trị viên khácdự án tương laiocpadmin01

# tạo dự án (thiết bị đầu cuối riêng)$ oc dự án mới-dự án tương lai...

# xác nhận truy cập (người dùng xác minh)$ oc nhận nhóm-ndự án tương laitrongkhông gian tên dự án tương lai(Có thể truy cập)

Với RoleBinding, bạn cần chỉ định nó mỗi khi tạo dự án, nhưng với ClusterRoleBinding, bạn không cần phải làm điều đó

5 Xác nhận quyền truy cập vào tài nguyên phạm vi cụm (Node, PV)

Vậy người dùng này có phải là "Quản trị viên xem tỷ lệ cá cược bóng đá (cluster-admin)" không?
Đang cố truy xuất thông tin nút

# Nhận thông tin nút$ oc nhận nút(Bị cấm): nút bị cấm: Người dùng"ocpadmin01"không thể liệt kê tài nguyên"nút" trongNhóm API""ở phạm vi cụm

Không thành công Đây là một điểm rất quan trọng
Việc cấp vai trò Quản trị viên trên toàn cụm không làm thay đổi định nghĩa của chính vai trò Quản trị viên (đặc quyền vận hành đối với Nhóm và Dịch vụ)
Vai trò Quản trị viên không bao gồm quyền "tham chiếu Nút", vì vậy, ngay cả khi được áp dụng cho tất cả dự án, vai trò này không thể hoạt động trên các tài nguyên bên ngoài dự án, chẳng hạn như Nút và PersistentVolumes (PV)

6 Lưu ý rằng đặc quyền truy cập rất mạnh mẽ

Có an toàn không nếu bạn không thể nhìn thấy Nút? Điều đó không đúng
Người dùng này làxem tỷ lệ cá cược bóng đá-cũng có thể được tự do xóa hoặc sửa đổi Việc vô tình xóa các Pod hoặc Bí mật quan trọng có thể gây ra lỗi cụm

Cũng"Không thể nhìn thấy tài nguyên nút" = "Không thể quản lý nút"Ví dụ: cài đặt lịch trình nút (Cordon/Uncordon), điều tra nhật ký cho từng nút, vvocpadmin01Không thể thực hiện được với đặc quyền Đây chỉ là quyền toàn năng của một "nhà điều hành ứng dụng" chứ không phải quyền toàn năng của một "kỹ sư cơ sở hạ tầng"

7 Tóm tắt

Cấp vai trò Quản trị viên với ClusterRoleBinding có nghĩa là trở thành "Quản trị viên dự án cho tất cả", khác với việc trở thành "Quản trị viên nền tảng"

  • Bạn có thể làm gì: Hoạt động tài nguyên và quản lý Ràng buộc vai trò trong tất cả các dự án hiện tại và tương lai (bao gồm xem tỷ lệ cá cược bóng đá-xxx, vv)
  • Việc gì không thể làm được: Vận hành nút, tạo PV, tạo CRD, thay đổi ResourceQuota (giống như lần trước)

Ngay cả khi bạn là thành viên của nhóm vận hành, chúng tôi khuyên bạn không nên cấp quyền này một cách tùy tiện mà thay vào đó chỉ thực hiện Ràng buộc vai trò cho các dự án cần thiết hoặc cân nhắc sử dụng vai trò tùy chỉnh như mô tả bên dưới

Lần tới, tôi sẽ làm rõ sự khác biệt khi gán quản trị viên cụm với RoleBinding và ClusterRoleBinding

Chọn nền tảng container hàng đầu trong ngành

xem tỷ lệ cá cược bóng đá không chỉ nâng cao hiệu quả vận hành cơ sở hạ tầng mà còn cung cấp các chức năng cần thiết để các nhà phát triển ứng dụng có thể tập trung phát triển mã nguồn