浅析 Kubernetes 的权限控制模型
Kubernetes 是一个开源的容器编排引擎,用来对容器化应用进行自动化部署、扩缩和管理。它是一个强大的集群管理系统,提供了丰富的功能。他的一个核心组件是 Kubernetes API Server,这是集群中所有资源管理的入口点,提供了一组 RESTful API 接口,用于管理和操作 Kubernetes 集群中的各种资源。
为了保障 API Server 访问安全,需要对集群用户或集群中的 Pod 发起的请求进行鉴权操作,以验证用户是否具有访问操作某种资源的权限。这个过程在 Kubernetes 集群中是通过 RBAC 子系统进行的。
![](https://static001.geekbang.org/infoq/67/6771fd1fca453aee2906036c83f83bad.png)
Kubernetes 的 RBAC(Role-Based Access Control)子系统是一种授权机制,用于管理和控制对 Kubernetes 集群资源的访问权限。RBAC 子系统允许管理员定义不同角色和权限,并将这些角色授予不同的用户或用户组。
RBAC 子系统由以下几个核心概念组成:
1. Role(角色):是对命名空间作用域的资源一组权限规则,用来授予在某一命名空间中的资源的访问权限;
2. ClusterRole(集群角色):是集群作用域的资源一组权限规则,可以配置不止一个命名空间域和集群作用域的资源的访问权限;
3. RoleBinding(角色绑定):将 Role 中定义的权限赋予若干“主体”(服务账户、用户或用户组)
4. ClusterRoleBinding(集群角色绑定):将 ClusterRole 中定义的权限赋予若干“主体”(服务账户、用户或用户组)
![](https://static001.geekbang.org/infoq/27/2783cf1d57662cab24f3626697a31191.png)
下面简要说明使用 RBAC 子系统对用户进行权限配置的过程:
1. 创建角色(Role)或集群角色(ClusterRole):定义一个角色或集群角色,用来描述用户所拥有的权限。角色的定义包括所能访问的 API 组、资源类型(如 Pod、Service 等)和操作(如 get、list、delete 等);
2. 创建角色绑定(RoleBinding)或集群角色绑定(ClusterRoleBinding):创建一个角色绑定或集群角色绑定,将角色与用户或用户组进行关联;
3. 验证用户权限:完成角色和角色绑定的创建后,可以使用命令行工具,以当前用户身份执行命令访问 API 资源,检查用户权限配置是否符合预期。
![](https://static001.geekbang.org/infoq/c7/c72d1cfd58cccd228763211454b8f05e.png)
传统的通过命令行操作集群资源的方式操作复杂性比较高、命令行输出的文本形式可读性差,容易出现输入错误或遗漏关键步骤,并且难以全面了解资源之间的依赖关系和拓扑结构。这些问题给故障排查和安全性监控等方面带来了困难,增加了运维难度。
为了解决这些问题,浪潮海岳云原生平台通过对 Kubernetes 集群权限进行封装,为用户提供了便捷的图形化界面,用于对集群相关权限配置资源进行操作。此外,该平台还基于 RBAC 权限模型,提供了数据权限和控制台权限配置功能,以进一步加强对平台用户的权限管理和控制。
![](https://static001.geekbang.org/infoq/2b/2bf0b2ee175d11addb7f27ffdcb14090.png)
浪潮海岳云原生平台包含的主要特性:
1. 支持 Kubernetes 访问控制的界面化配置
支持用户利用图形化界面对访问控制资源进行模糊搜索、快速查找,通过操作表单实现权限信息的快速配置,以直观的方式了解配置的权限信息;
2. 支持基于 RBAC 的菜单权限和数据权限控制
支持根据用户的角色和职责定义菜单和数据权限,用户权限修改无须逐个修改每个用户的权限设置,简化了用户操作,同时保证了平台和集群数据的私密性和安全性;
3. 支持集群控制台和容器控制台权限控制
支持自动将用户的权限信息同步至集群控制台和容器控制台,确保权限信息始终保持一致,避免用户通过控制台操作资源时出现越权问题;
4. 支持分级授权控制
支持用户根据实际需求和业务流程灵活调整组织权限,进行分级授权,因此这一特性特别适用于大型、复杂的组织架构的人员授权。
通过浪潮海岳云原生平台,用户可以使用直观的图形化界面对 Kubernetes 权限模型的相关资源进行运维操作,这一操作方式大大降低了运维的门槛,提高了运维的效率。此外,平台实现了分级授权以及菜单权限和数据权限的细粒度配置,通过将系统用户权限与集群权限系统之间的无缝对接,使得对不同用户的权限进行更加精细化的控制成为可能。这种精细化的权限控制不仅提升了集群资源的访问安全性,也增强了整个平台系统的安全性。
安利时刻:欢迎大家下载我们的inBuilder开源社区版,可免费下载使用,加入我们,开启开发之旅!
评论