azure - 如何在 Azure Kubernetes 服务中进行基于角色的访问控制？

Question

我通过 VSTS 在 azure kubernetes 服务中部署了我的应用程序 Pod。我通过创建用户了解在本地集群上使用 RBAC 的 Kubernetes。现在我想做的是创建一些角色，并为我的开发人员和测试人员以及 azure kubernetes 服务中的 kubernetes 资源分配不同的权限。我对此进行了研究并浏览了不同的链接，但我对此没有任何正确的想法。据我了解，我们只能为有权访问 Azure Active Directory 的用户分配角色权限。如果我错了有人可以纠正我吗？

我找到了一种方法，例如 OpenID Connect token 。为此我引用了以下link 。但我不知道身份提供商到底是什么以及如何从上面链接中提到的身份提供商和客户端 ID 和客户端 token 生成不同的 token ？

有人可以帮我在 Azure Kubernetes 服务中执行 RBAC 吗？或者除我上面提到的之外还有其他替代方法吗？

Answer 1

您可以使用 Azure AD RBAC 和/或内部 k8s RBAC(与本地集群上的完全相同)。

对于 Azure AD RBAC，您将使用与内部 k8s 用户相同的方法，但您需要将角色绑定(bind)到 Azure AD 实体:

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
 name: binding_name
roleRef:
 apiGroup: rbac.authorization.k8s.io
 kind: ClusterRole
 name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: "azure_ad_group_guid"

对于内部 k8s RBAC，请阅读 official doc .

对于 Azure AD RBAC，请阅读 official doc