10.2. 拡張機能リソースへのユーザーアクセス

手順

1. インストールされたクラスター拡張機能にデフォルトのクラスターロールがない場合は、1 つ以上のロールを手動で作成します。

   1. 「ユーザー用の一般的なデフォルトクラスターロール」で説明されているロールセットのユースケースを検討します。

      たとえば、次の ClusterRole オブジェクト定義を 1 つ以上作成し、<cluster_extension_api_group> と <cluster_extension_custom_resource> を、インストールされたクラスター拡張機能によって提供される実際の API グループとリソース名に置き換えます。

      view-custom-resource.yaml ファイルの例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: view-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - get
        - list
        - watch

      edit-custom-resource.yaml ファイルの例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: edit-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - get
        - list
        - watch
        - create
        - update
        - patch
        - delete

      admin-custom-resource.yaml ファイルの例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: admin-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - '*' 1

      1

      verbs にワイルドカード (*) を設定すると、指定したリソースに対するすべてのアクションが許可されます。

   2. 作成した YAML ファイルに対して次のコマンドを実行して、クラスターロールを作成します。

      $ oc create -f <filename>.yaml

2. クラスターロールを個々のユーザー名またはグループ名にバインドすることで、クラスターロールを特定のユーザーまたはグループに関連付け、リソースに対する必要な権限を付与します。

   1. すべての namespace へのアクセスを許可する クラスターロールバインディング、または特定の namespace 内でアクセスを許可する ロールバインディング のオブジェクト定義を作成します。

      • 次のクラスターロールバインディングの例では、すべての namespace のカスタムリソースに対する読み取り専用の view アクセスを許可します。

        ユーザーの ClusterRoleBinding オブジェクトの例

        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRoleBinding
        metadata:
          name: view-custom-resource-binding
        subjects:
        - kind: User
          name: <user_name>
        roleRef:
          kind: ClusterRole
          name: view-custom-resource
          apiGroup: rbac.authorization.k8s.io

        ユーザーの ClusterRoleBinding オブジェクトの例

        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRoleBinding
        metadata:
          name: view-custom-resource-binding
        subjects:
        - kind: Group
          name: <group_name>
        roleRef:
          kind: ClusterRole
          name: view-custom-resource
          apiGroup: rbac.authorization.k8s.io

      • 次のロールバインディングでは、edit 権限を特定の namespace に制限します。

        ユーザーの RoleBinding オブジェクトの例

        apiVersion: rbac.authorization.k8s.io/v1
        kind: RoleBinding
        metadata:
          name: edit-custom-resource-edit-binding
          namespace: <namespace>
        subjects:
        - kind: User
          name: <username>
        roleRef:
          kind: Role
          name: custom-resource-edit
          apiGroup: rbac.authorization.k8s.io

   2. オブジェクト定義を YAML ファイルに保存します。

   3. 以下のコマンドを実行してオブジェクトを作成します。

      $ oc create -f <filename>.yaml

手順

1. クラスター拡張機能によって提供される API グループとリソースを指定するクラスターロールのオブジェクト定義を作成し、集約ラベルを追加して 1 つ以上の既存のデフォルトクラスターロールを拡張します。

   集約ラベルを使用した ClusterRole オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: view-custom-resource-aggregated
     labels:
       rbac.authorization.k8s.io/aggregate-to-view: "true"
   rules:
     - apiGroups:
         - <cluster_extension_api_group>
       resources:
         - <cluster_extension_custom_resource>
       verbs:
         - get
         - list
         - watch

   create、update、delete などの適切な動詞を使用して、edit および admin 用の同様の ClusterRole オブジェクトを作成できます。集約ラベルを使用すると、カスタムリソースの権限がデフォルトのロールに追加されます。

2. オブジェクト定義を YAML ファイルに保存します。

3. 以下のコマンドを実行してオブジェクトを作成します。

   $ oc create -f <filename>.yaml