第11章 LocalSubjectAccessReview [authorization.k8s.io/v1]

extra

object

Extra は、オーセンティケーターの user.Info.GetExtra () メソッドに対応します。それは承認者に入力されるので、ここで反映する必要があります。

extra{}

array (string)

groups

array (string)

グループは、テストしているグループです。

nonResourceAttributes

object

NonResourceAttributes には、Authorizer インターフェイスへの非リソース要求に使用できる承認属性が含まれています

resourceAttributes

object

ResourceAttributes には、Authorizer インターフェイスへのリソース要求に使用できる許可属性が含まれています

uid

string

要求しているユーザーに関する UID 情報。

user

string

ユーザーは、テストしているユーザーです。"User" を指定し、"Groups" を指定しなかった場合、それは「User がどのグループにも所属していなかったらどうなるか」という意味になります。

path

string

パスはリクエストの URL パスです

verb

string

動詞は標準の HTTP 動詞です

fieldSelector

object

FieldSelectorAttributes はアクセスが制限されたフィールドを示します。Webhook の作成者は、次の点に注意してください。* rawSelector と requirements の両方が設定されていないことを確認する * requirements フィールドが設定されている場合はそれを考慮する * rawSelector フィールドが設定されている場合は解析または考慮を試みない。これは、別の CVE-2022-2880 を回避するためです (異なるシステム間でクエリーの解析方法を統一するのは望ましくありません)。詳細は、https://www.oxeye.io/resources/golang-parameter-smuggling-attack を参照してください。kube-apiserver の *SubjectAccessReview エンドポイントの場合: * rawSelector がなく、要件もない場合に、リクエストは制限されません。* rawSelector が存在し、要件が空の場合、rawSelector は解析され、解析が成功するとこれは制限されます。* rawSelector が空で要件が存在する場合、要件が優先される必要があります。* rawSelector が存在し、要件が存在する場合、リクエストは無効です。

group

string

グループは、リソースの API グループです。"*" はすべてを意味します。

labelSelector

object

LabelSelectorAttributes は、アクセスが制限されたラベルを示します。Webhook の作成者は、次の点に注意してください。* rawSelector と requirements の両方が設定されていないことを確認する * requirements フィールドが設定されている場合はそれを考慮する * rawSelector フィールドが設定されている場合は解析または考慮を試みない。これは、別の CVE-2022-2880 を回避するためです (異なるシステム間でクエリーの解析方法を統一するのは望ましくありません)。詳細は、https://www.oxeye.io/resources/golang-parameter-smuggling-attack を参照してください。kube-apiserver の *SubjectAccessReview エンドポイントの場合: * rawSelector がなく、要件もない場合に、リクエストは制限されません。* rawSelector が存在し、要件が空の場合、rawSelector は解析され、解析が成功するとこれは制限されます。* rawSelector が空で要件が存在する場合、要件が優先される必要があります。* rawSelector が存在し、要件が存在する場合、リクエストは無効です。

name

string

名前は、"取得" のために要求されているリソース、または "削除" のために削除されているリソースの名前です。"" (空) はすべてを意味します。

namespace

string

namespace は、要求されているアクションの namespace です。現在、名前空間なしとすべての名前空間の区別はありません ""(空) は LocalSubjectAccessReviews のデフォルトです ""(空) はクラスタースコープのリソースでは空です ""(空) は SubjectAccessReview からの名前空間スコープのリソースの " すべて " を意味します SelfSubjectAccessReview

resource

string

リソースは、既存のリソースタイプの 1 つです。"*" はすべてを意味します。

subresource

string

サブリソースは、既存のリソースタイプの 1 つです。"" は何もないことを意味します。

verb

string

動詞は、get、list、watch、create、update、delete、proxy などの kubernetes リソース API 動詞です。"*" はすべてを意味します。

version

string

バージョンは、リソースの API バージョンです。"*" はすべてを意味します。

rawSelector

string

rawSelector は、クエリーパラメーターに含まれるフィールドセレクターのシリアル化です。Webhook 実装では、rawSelector を無視することが推奨されます。kube-apiserver の *SubjectAccessReview は、要件が存在しない限り、rawSelector を解析します。

requirements

array (FieldSelectorRequirement)

requirements は、フィールドセレクターの解析された解釈です。リソースインスタンスとセレクターと合致させるには、すべての要件を満たす必要があります。Webhook 実装は要件を処理する必要がありますが、それをどのように処理するかは Webhook 次第です。Requirements はリクエストを制限する役割しか持たないため、内容が理解できない場合は、無制限のリクエストとして承認しても問題ありません。

rawSelector

string

rawSelector は、クエリーパラメーターに含まれるフィールドセレクターのシリアル化です。Webhook 実装では、rawSelector を無視することが推奨されます。kube-apiserver の *SubjectAccessReview は、requirements が存在しない限り、rawSelector を解析します。

requirements

array (LabelSelectorRequirement)

requirements は、ラベルセレクターを解析した結果の解釈です。リソースインスタンスがセレクターと一致するためには、requirements に含まれるすべての条件が適用される必要があります。Webhook 実装は要件を処理する必要がありますが、それをどのように処理するかは Webhook 次第です。Requirements はリクエストを制限する役割しか持たないため、内容が理解できない場合は、無制限のリクエストとして承認しても問題ありません。

allowed

boolean

許可が必要です。アクションが許可される場合は true、それ以外の場合は false。

拒否

boolean

拒否はオプションです。アクションが拒否される場合は true、それ以外の場合は false。許可されたものと拒否されたものの両方が false である場合、承認者はアクションを承認するかどうかについて意見を持っていません。許可が true の場合、拒否は true ではない可能性があります。

evaluationError

string

EvaluationError は、許可チェック中にエラーが発生したことを示します。エラーが発生し、それにもかかわらず許可ステータスを判別し続けることは完全に可能です。たとえば、RBAC にロールがない可能性がありますが、十分なロールがまだ存在しており、要求の理由に拘束されています。

reason

string

理由はオプションです。リクエストが許可または拒否された理由を示します。