1.2 KiB

Raw Blame History

RBAC 相关

给 roc 授权 test 命名空间所有权限，istio-system 命名空间的只读权限

给 roc 授权整个集群的只读权限

给 manager 用户组里所有用户授权 secret 读权限

给 roc 授权集群只读权限 (secret读权限除外)

Secret 读权限比较敏感，不要轻易放开，k8s 的 Role/ClusterRole 没有提供类似 "某资源除外" 的能力，secret 在 core group 下，所以只排除 secret 读权限的话需要列举其它所有 core 下面的资源，另外加上其它所有可能的 group 所有资源(包括CRD):

可以借助 kubectl api-resources -o name 来列举。

限制 ServiceAccount 权限

授权 build-robot 这个 ServiceAccount 读取 build 命名空间中 Pod 的信息和 log 的权限:

1.2 KiB Raw Blame History Unescape Escape