如何在一组自动伸缩吊舱上创建Kubernetes RBAC策略（或者有可能吗）？

Question

我的目标是创建一个Kubernetes角色，以限制特定部署下pods上的kubectl exec访问。我下面构建了一个策略，当我的吊舱的数量和名称都是静态的时，它成功地创建了角色。问题是，我的部署是水平自动伸缩的，所以如果创建了一个新的pod，那么角色将不会应用于该新pod（因为每个pod名称都是在角色中显式定义的）&新pod将在其名称后面附加一个随机散列。

下面的格式是Terraform中的，但它的高级结构与yaml中定义的角色相同

resource kubernetes_cluster_role alb_exec_role {
  metadata {
    name = "alb-exec-role"
  }

  rule {
    api_groups     = [""]
    resources      = ["pods", "pods/log"]
    resource_names = [<pod names>]
    verbs          = ["get", "list"]
  }

  rule {
    api_groups     = [""]
    resources      = ["pods/exec"]
    resource_names = [<pod names>]
    verbs          = ["create"]
  }
}

Answer 1

最重要的是，为什么不从角色中的所有Pods中删除pod/exec，然后将允许执行的

也就是说，您需要的可能是一个自定义控制器，它监听命名空间中的Pod事件，并在创建或调度新Pod时更新RBAC角色。