库伯内特斯RBAC规则动词列表

Question

我想给我的应用程序有限的访问权限来获取不同状态集（可能还有部署）的副本，并在必要时向上或向下扩展它们。

我已经为此创建了ServiceAccount、Rolebinding和Role，但是我找不到规则动词(“get”、“watch”、“list”、“update”)的完整列表以及它们的限制，例如，我是否可以使用< code>update进行缩放，或者我是否需要另一个动词？我在哪里可以找到描述这些动词的列表或表格？

我的yaml文件：

kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: scaler-role
  namespace: {{ .Release.Namespace  | quote }}
rules:
- apiGroups: ["apps"]
  resources: ["statefulset"]
  verbs: ["get", "watch", "list", "update"]

Answer 1

动词列表可以在这里找到https://kubernetes.io/docs/reference/access-authn-authz/authorization/#review-your-request-attributes

在这里可以找到一个简短的描述https://kubernetes.io/docs/reference/access-authn-authz/authorization/#determine-请求动词

我有一个角色，用于更新部署的docker映像标签，如下所示（我不使用我的角色来创建部署，只是修补映像标签）

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: deployer
rules:
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "patch"]

Answer 2

以下是RBAC动词列表：

对于扩展，我认为您需要写入权限（创建、更新和补丁）以及读取权限（get、list和watch）。

Answer 3

最好的方法是

kubectl api-resources --sort-by name -o wide

上面的api资源命令是显式的并且易于grep。可以这样获得可能的动词的完整列表：

$ kubectl api-resources --no-headers --sort-by name -o wide | sed 's/.*\[//g' | tr -d "]" | tr " " "\n" | sort | uniq
create
delete
deletecollection
get
list
patch
update
watch

API参考文档的资源操作部分（例如https://kubernetes.io/docs/reference/generated/kubernetes-api/v1.20/)只谈了一点，但没有提到deletecollection（顺便说一句：请参阅有关deletecollection的有趣信息；建议每当您给予删除权限时，如果资源支持，也应给予Deltecollection权限）。

授权概述的“确定请求谓词”部分确实简要提到了 deletecollection，以及另外六个动词（例如 @RoryMcCune 正确指出的升级），不幸的是，这些动词没有出现在 kubectl api-resources -o wide 命令的输出中。

顺便说一下，< code>api-resources命令还列出了命令的简称，例如< code >服务的< code>svc。