역할과 바인딩

1. 역할과 바인딩 생성하기

앞에서 언급 했듯이, 우리는 새로운 사용자인 rbac-user가 있지만 아직 어떤 역할에도 바인딩 되지 않았습니다. 바인딩 하기 위해 기본 관리자로 다시 전환해야 합니다.

다음을 실행하여 rbac-user로 정의할 환경 변수 값을 제거 합니다.

unset AWS_SECRET_ACCESS_KEY
unset AWS_ACCESS_KEY_ID

rbac-user가 아닌 Admin 사용자를 다시 확인하기 위해 다음 명령을 실행합니다:

aws sts get-caller-identity

결과는 사용자가 더 이상 rbac-user가 아닌 것을 보여 주어야 합니다.

이제 Admin 사용자는 rbac-test 네임 스페이스에만 해당하는 pods 및 deployments에 대한 List, Get 및 Watch 액세스를 제공하는 역할을 만들어야 합니다. 이 역할을 만들려면 다음을 실행 하십시오.

cat << EoF > rbacuser-role.yaml
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: rbac-test
  name: pod-reader
rules:
- apiGroups: [""] # "" indicates the core API group
  resources: ["pods"]
  verbs: ["list","get","watch"]
- apiGroups: ["extensions","apps"]
  resources: ["deployments"]
  verbs: ["get", "list", "watch"]
EoF

사용자가 있고 역할이 있으며, 이제 RoleBinding 리소스와 함께 바인딩 합니다. 다음을 실행하여 RoleBinding을 만듭니다.

cat << EoF > rbacuser-role-binding.yaml
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: read-pods
  namespace: rbac-test
subjects:
- kind: User
  name: rbac-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io
EoF

다음으로, 만든 RoleBindings와 role을 적용 합니다.

kubectl apply -f rbacuser-role.yaml
kubectl apply -f rbacuser-role-binding.yaml

2. 역할과 바인딩 검증하기

이제 사용자, 역할 및 RoleBinding이 정의 되었으므로 rbac-user로 다시 전환하여 테스트 해 보겠습니다.

rbac-user로 다시 전환하려면 rbac-user 환경 변수를 제공하는 다음 명령을 실행하고 해당 변수를 가져 왔는지 확인합니다:

. rbacuser_creds.sh; aws sts get-caller-identity

rbac-user로 로그인 했음을 반영하는 출력이 표시 되어야 합니다.

rbac-user로서 이전에 실패한 명령어를 실행하여 rbac 네임 스페이스에서 파드를 가져옵니다.

kubectl get pods -n rbac-test

결과는 다음과 유사해야 합니다.

동일한 명령을 다시 실행 하지만 rbac-test 네임 스페이스 외부에 있는 경우에는 오류가 발생해야 합니다.

kubectl get pods -n kube-system

이는 바인딩 된 역할은 rbac-test 이외의 네임 스페이스에 대한 액세스 권한을 부여하지 않기 때문입니다.