Criar serviço / conta de usuário do Kubernetes restrito a um namespace

1. Uma conta de serviço pode ter vários vínculos de função?
2. Como dou permissão para a conta de serviço do Kubernetes?
3. Como faço para restringir o acesso ao namespace no Kubernetes?
4. Como faço para restringir namespaces?
5. Qual é a diferença entre RBAC e ABAC?
6. O que é papel e RoleBinding no Kubernetes?
7. Como faço para gerenciar usuários no Kubernetes?
8. Como funciona a conta de serviço no Kubernetes?
9. O que é conta de serviço no EKS?
10. É possível montar segredos em pods?
11. O que é namespace no Kubernetes?
12. Como posso saber se meu cluster está habilitado para Rbac?

Uma conta de serviço pode ter vários vínculos de função?

Por exemplo, se um usuário ou conta de serviço pode criar pods. Coleções de regras. Você pode associar ou vincular usuários e grupos a várias funções.

Como dou permissão para a conta de serviço do Kubernetes?

Use várias contas de serviço.

Você pode usar plug-ins de autorização para definir permissões em contas de serviço. Para usar uma conta de serviço não padrão, defina a especificação. serviceAccountName campo de um pod para o nome da conta de serviço que você deseja usar.

Como faço para restringir o acesso ao namespace no Kubernetes?

Para conseguir isso, você deve criar Roles (ou um ClusterRole) e RoleBindings nos namespaces aos quais deseja conceder acesso aos usuários. Aqui está como você pode conceder acesso a todos os recursos para o usuário dev-team no namespace dev e qa, mas negar acesso a quaisquer recursos em qualquer outro namespace.

Como faço para restringir namespaces?

Restringir associações de recursos de namespace cruzado

1. Crie um ClusterRole para permitir que solicitações HTTP GET sejam executadas em objetos Elasticsearch: ...
2. Crie um ServiceAccount e um RoleBinding no namespace Elasticsearch para permitir que qualquer recurso usando o ServiceAccount se associe ao cluster Elasticsearch:

Qual é a diferença entre RBAC e ABAC?

A principal diferença entre o RBAC e o ABAC é que o RBAC fornece acesso a recursos ou informações com base nas funções do usuário, enquanto o ABAC fornece direitos de acesso com base no usuário, ambiente ou atributos de recursos. ... ABAC, RBAC controla amplo acesso em uma organização, enquanto ABAC tem uma abordagem de grão fino.

O que é papel e RoleBinding no Kubernetes?

Uma vinculação de função concede as permissões definidas em uma função a um usuário ou conjunto de usuários. Ele contém uma lista de assuntos (usuários, grupos ou contas de serviço) e uma referência à função que está sendo concedida. Um RoleBinding concede permissões dentro de um namespace específico, enquanto um ClusterRoleBinding concede esse acesso a todo o cluster.

Como faço para gerenciar usuários no Kubernetes?

O Kubernetes não gerencia usuários. Os usuários normais são considerados gerenciados por um serviço externo independente, como LDAP ou Active Directory. Em uma instalação padrão do Kubernetes (i.e., usando kubeadm), a autenticação é feita por meio de certificados de segurança de nível de transporte padrão (TLS).

Como funciona a conta de serviço no Kubernetes?

No Kubernetes, contas de serviço são usadas para fornecer uma identidade para pods. Os pods que desejam interagir com o servidor da API serão autenticados com uma conta de serviço específica. Por padrão, os aplicativos serão autenticados como a conta de serviço padrão no namespace em que estão sendo executados.

O que é conta de serviço no EKS?

Essa conta de serviço pode fornecer permissões AWS para os contêineres em qualquer pod que usa essa conta de serviço. ... Com este recurso, você não precisa mais fornecer permissões estendidas para a função IAM do nó do Amazon EKS para que os pods nesse nó possam chamar APIs da AWS.

É possível montar segredos em pods?

Os segredos podem ser montados como volumes de dados ou expostos como variáveis ​​de ambiente a serem usados ​​por um contêiner em um pod. Os segredos também podem ser usados ​​por outras partes do sistema, sem serem expostos diretamente ao pod.

O que é namespace no Kubernetes?

Namespaces são objetos Kubernetes que particionam um único cluster Kubernetes em vários clusters virtuais. Cada namespace do Kubernetes fornece o escopo para os nomes do Kubernetes que ele contém; o que significa que usando a combinação de um nome de objeto e um namespace, cada objeto obtém uma identidade única em todo o cluster.

Como posso saber se meu cluster está habilitado para Rbac?

Você pode verificar isso executando o comando kubectl api-versions; se o RBAC estiver habilitado, você deve ver a versão da API . rbac.autorização.k8s.io / v1 . Se você puder executá-lo, deverá ver o RBAC listado lá ou não, e se você não tiver as permissões para fazer isso, bem, as chances são de que o RBAC está habilitado.