kubernetes - Google Cloud Container Engine (GKE) 上的 IAM 和 RBAC 冲突

Question

语境
对 Google Cloud (GKE) kubernetes 集群的访问通过 Google Cloud IAM 功能进行管理；

管理员邀请新用户(使用他们的 google 帐户/登录名)并为其分配角色。
下面的示例角色是“Container Engine Viewer”，它将允许用户访问 kubernetes 集群并运行所有“查看”操作。

用户可以使用 gcloud auth login在他们的本地机器上，然后是 gcloud container clusters get-credentials向 Google IAM 进行身份验证并拥有 gcloud工具将它们写出一个 kubernetes 配置文件，准备使用集群。

然后用户可以使用 kubectl访问集群。在上面的例子中，读取工作......写入/更改不;都好!

问题
GKE kubernetes 集群的 IAM 角色非常简单，“管理员、读/写、读”。
为了对 Kubernetes 集群进行更细粒度的控制，Kubernetes RBAC
应该在集群中使用，允许我将用户限制为单个命名空间、单个 API 端点、单个操作等。
但是，没有为用户指定 IAM 角色；用户无法向集群进行身份验证(RBAC 是授权，而不是身份验证)。
然而，我可以设置的最低权限 IAM 角色是“Container Engine Viewer”，因此无论我使用 Kubernetes RBAC 实现的限制如何，我的所有用户仍然具有完全读取权限。
问题
有没有人找到一种方法来确保 GKE 中的所有权限都来自 RBAC，基本上使 IAM 的权限无效？

Answer 1

奇怪的是如何写出问题让你更快地得到答案，是吧？
Google Cloud 的 IAM 中有一个新的“Alpha”功能，我上次尝试解决这个问题时没有这个功能；
在 IAM > 角色下，您现在可以使用自己的权限子集创建自定义 IAM 角色。
我创建了一个允许 gcloud container clusters get-credentials 的最小角色工作，但没有别的，允许 kubernetes 集群内的权限完全由 RBAC 管理。
初步测试看起来不错。
IAM 角色屏幕截图(具有所需的权限)如下。
Minimal IAM role with GKE cluster access
New IAM roles alpha functionality