10.3. ロールバインディングの管理
ロール を ユーザーまたはグループ に追加するか、または バインド することにより、そのユーザーまたはグループにそのロールによって付与される関連アクセスが提供されます。oc adm policy コマンドを使用して、ユーザーおよびグループに対するロールの追加および削除を実行できます。
以下の操作を使用し、ローカルのロールバインディングでのユーザーまたはグループの関連付けられたロールを管理する際に、プロジェクトは -n フラグで指定できます。これが指定されていない場合には、現在のプロジェクトが使用されます。
| コマンド | 説明 |
|---|---|
|
| リソースに対してアクションを実行できるユーザーを示します。 |
|
| 指定されたロールを現在のプロジェクトの指定ユーザーにバインドします。 |
|
| 現在のプロジェクトの指定ユーザーから指定されたロールを削除します。 |
|
| 現在のプロジェクトの指定ユーザーとそれらのロールのすべてを削除します。 |
|
| 指定されたロールを現在のプロジェクトの指定グループにバインドします。 |
|
| 現在のプロジェクトの指定グループから指定されたロールを削除します。 |
|
| 現在のプロジェクトの指定グループとそれらのロールのすべてを削除します。 |
|
|
ユーザーまたはグループに割り当てられたロールバインディング名を保持するために |
以下の操作を使用して、クラスターのロールバインディングも管理できます。クラスターのロールバインディングは namespace を使用していないリソースを使用するため、-n フラグはこれらの操作に使用されません。
| コマンド | 説明 |
|---|---|
|
| 指定されたロールをクラスターのすべてのプロジェクトの指定ユーザーにバインドします。 |
|
| 指定されたロールをクラスターのすべてのプロジェクトの指定ユーザーから削除します。 |
|
| 指定されたロールをクラスターのすべてのプロジェクトの指定グループにバインドします。 |
|
| 指定されたロールをクラスターのすべてのプロジェクトの指定グループから削除します。 |
|
|
ユーザーまたはグループに割り当てられたロールバインディング名を保持するために |
たとえば、以下を実行して admin ロールを joe-project の alice ユーザーに追加できます。
$ oc adm policy add-role-to-user admin alice -n joe-project
次に、ローカルのロールバインディングを表示し、出力に追加されていることを確認します。
$ oc describe rolebinding.rbac -n joe-project Name: admin Labels: <none> Annotations: <none> Role: Kind: ClusterRole Name: admin Subjects: Kind Name Namespace ---- ---- --------- User joe Name: admin-0 1 Labels: <none> Annotations: <none> Role: Kind: ClusterRole Name: admin Subjects: Kind Name Namespace ---- ---- --------- User alice 2 Name: system:deployers Labels: <none> Annotations: <none> Role: Kind: ClusterRole Name: system:deployer Subjects: Kind Name Namespace ---- ---- --------- ServiceAccount deployer joe-project Name: system:image-builders Labels: <none> Annotations: <none> Role: Kind: ClusterRole Name: system:image-builder Subjects: Kind Name Namespace ---- ---- --------- ServiceAccount builder joe-project Name: system:image-pullers Labels: <none> Annotations: <none> Role: Kind: ClusterRole Name: system:image-puller Subjects: Kind Name Namespace ---- ---- --------- Group system:serviceaccounts:joe-project
