azure - 部署使用 istio 的服务时应创建/使用哪些角色？

Question

我正在构建一个支持 istio 的 RBAC AKS 集群。我分配了集群管理员角色，并且能够毫无问题地成功部署最小的 istio 服务(服务/部署/网关/虚拟服务)。

我需要为我的组织内的团队提供 AKS 访问权限，因此我创建了一个命名空间并为他们分配了该命名空间的管理员角色。 k8s 原生的一切(kubectl get services --namespace team)都运行良好。然而，当他们部署相同的最小 istio 服务(服务/部署/网关/虚拟服务)时，他们遇到了许多类似于以下内容的错误:

Error from server (Forbidden): error when retrieving current configuration of:
Resource: "networking.istio.io/v1alpha3, Resource=gateways", GroupVersionKind: "networking.istio.io/v1alpha3, Kind=Gateway"

这是有道理的，因为我没有将该组绑定(bind)到任何 istio 角色。一旦我授予他们集群管理员权限，它就会按预期工作。

问题是，我不知道要添加哪些 istio 角色。当我在安装 istio 后查看集群中存在的角色时，我没有看到任何明显的角色。

我看到的角色:

• istio-citadel-istio-系统
• istio-vnetingressgateway-istio-system
• istio-sidecar-injector-istio-system
• istio-security-post-install-istio-system
• istio-pilot-istio-系统
• istio-ingressgateway-istio-system
• istio-grafana-post-install-istio-system
• istio-mixer-istio-系统
• istio-galley-istio-系统
• istio-egressgateway-istio-system

对于需要在 istio 部署(命名空间内)上进行操作的用户来说，合适的角色是什么？是角色组合吗？我需要新角色吗？

Answer 1

类似这样的角色应该有效:

"apiGroups": [
    "istio.io"
],
"resources": [
    "*"
],
"verbs": [
    "*"
]

如果这不起作用，您需要执行以下操作:

"apiGroups": [
    "config.istio.io",
    "networking.istio.io",
    "rbac.istio.io",
    "authentication.istio.io"
],
"resources": [
    "*"
],
"verbs": [
    "*"
]

您可以为您的用户创建角色或 Clusterrole 以及绑定(bind)或角色绑定(bind)。