如何将kubernetes dashboard限制为分配给特定角色的用户的特定dashboard

Question

我正在尝试限制kubernetes仪表板上的a用户，该仪表板在我创建后连接到kubectl。他和相应的配置的crt。

我成功地限制了他可以使用以下role.yaml

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
 namespace: development
 name: dev
rules:
- apiGroups: [""]
  resources: ["pods", "services", "crontabs", "pods/log"]
  verbs: ["create", "get", "update", "list", "delete"]
- apiGroups: ["batch"]
  resources: ["cronjobs", "jobs"]
  verbs: ["*"]
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["create", "get", "update", "list", "delete"]

和簇绑定

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: kubernetes-dashboard-susann
rules:
- apiGroups: [""]
  resources: ["services/proxy"]
  resourceNames: ["https:kubernetes-dashboard:"]
  verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
- nonResourceURLs: ["/ui", "/ui/*", "/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/*"]
  verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]

让他能够进入仪表板。问题是，我只希望他能够访问名称空间development。

我已经搜索了一些，一些解决方案似乎涉及创建一个服务帐户，另一个问题可能是因为查看仪表板的权限是在集群角色上授予的，并且无法命名。

有没有最好的方法来解决这个问题？

Answer 1

这可以通过适当的RBAC配置来完成。

您需要在特定的命名空间中创建一个Role绑定。例如，RBAC规则可以如下创建：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: dev
  namespace: development
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: edit
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: dev

有了它，dev角色将具有预定义的集群角色edit，该角色将通过仪表板将它们限制为对大多数对象的标准操作。dev将无法下拉列出其他名称空间。

为了全面了解整个过程，我强烈建议您阅读以下指南：

• 每个命名空间安装库伯内特斯仪表板

如果你需要使用这个或者类似的方法，你可以考虑使用这个工具：

• RBAC经理

如果你想了解更多关于这个话题的知识，我建议你查阅以下资料：

>

使用RBAC授权

创建仅限于一个命名空间的Kubernetes服务/用户帐户

KUBERNETES和RBAC：限制用户访问一个名称空间

阅读本指南并用链接的资源补充任何必要的知识，将使您更容易理解并在您的用例中实现此解决方案。