Azure AKS : Full access to new RBAC cluster with get-credentials without admin

Question

如果我从 Azure 门户创建一个全新的 AKS RBAC 群集，在我具有贡献者角色的资源组中，然后运行 ​​az aks get-credentials 没有 admin 标志，我可以使用 kubectl 创建和删除 Pod 和命名空间、读取集群范围的 secret 等等。 无需首先使用 --admin 登录并创建任何 RBAC 角色和绑定(bind)。

是什么给了我这些权限？基于discussions我found online ，非管理员版本的 get-credentials 下载集群用户角色的 kubeconfig 设置，这应该允许我登录，但开箱即用。

Answer 1

这里有点困惑。因此，如果您创建启用 RBAC 的集群，az aks get-credentials 将提取管理配置(因此具有完全访问权限)。您需要登录创建角色\绑定(bind)\服务帐户\用户和 generate kubeconfigs for other users因此他们将获得您希望他们拥有的权限。

但是，如果您使用 AAD integration 创建启用 RBAC 的集群然后，az aks get-credentials 将根据您的 AAD 用户提取凭据，但除非您在 k8s 内配置适当的角色\绑定(bind)，否则该凭据将不起作用(提取将起作用，访问 k8s 将不起作用)。