如何使用命名空间级别的权限（没有集群管理权限）设置Istio或Linkerd？

Question

我们使用的是 K8s 集群，但我们没有集群级别的权限，因此我们只能在命名空间上创建 Role 和 ServiceAccount，并且只需要在命名空间中安装服务网格解决方案（Istio 或 Linkerd）。

我们的运营团队将同意为我们在集群上应用CRDs，因此该部分得到了处理，但是我们不能请求集群管理权限来设置服务网格解决方案。

我们认为，如果我们在 Helm 图表上将所有 ClusterRoles 和 ClusterRoleBindings 更改为 Roles 和 RoleBindings，那么应该可以做到这一点。

所以，问题是：我们如何在没有K8s集群管理员权限的情况下使用Istio或Linkerd设置服务网格？

Answer 1

如果没有特定的ClusterRoles、ClusterRoleBinding等，Linkerd无法运行。然而，它确实提供了两阶段安装模式，其中一个阶段对应于“所需的群集管理权限”（也称为“将此权限授予您的运营团队”），另一个阶段则对应于“不需要的群集管理许可”（自行完成此部分）。

所需的集群管理权限集被缩小到尽可能小的范围，并且可以被检查(< code > linkerd install config 命令只是将它输出到stdout。)

详见https://linkerd.io/2/tasks/install/#multi-stage-install。

在上下文中，我们最初尝试使用一种不需要集群级特权的模式，但很明显，我们在K8s的操作方式上与实际情况背道而驰，最终我们放弃了这种方法，转而使用控制平面集群，但多租户。