9.13. 仮想マシンの状態を制御する

手順

1. ターゲットユーザーまたはグループが仮想マシンの状態を管理できるようにする ClusterRole オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: vm-manager-access
   rules:
     - apiGroups:
         - subresources.kubevirt.io
       resources:
         - virtualmachines/start
         - virtualmachines/stop
       verbs:
         - put
   # ...

2. クラスターロールを適用するには、次のコマンドを実行します。

   $ oc apply -f <filename>.yaml

3. 次のコマンドを実行して出力をチェックし、クラスターロールが作成されたことを確認します。

   $ oc get clusterrole <name>

   出力例:

   NAME                AGE
   vm-manager-access   15s

4. クラスターロールの詳細を検査し、subresources.kubevirt.io の目的のルール (具体的には、virtualmachines/start および virtualmachines/stop サブリソース) が存在することを確認します。

   次のコマンドを実行し、出力を確認します。

   $ oc describe clusterrole <name>

   出力例:

   Name:         vm-manager-access
   Labels:       <none>
   Annotations:  <none>
   PolicyRule:
     Resources  Non-Resource URLs  Resource Names  Verbs
     ---------  -----------------  --------------  -----
     virtualmachines/start, virtualmachines/stop with subresources.kubevirt.io group  []  []  [put]

5. 作成したクラスターロールをターゲットユーザーまたはグループにバインドするための ClusterRoleBinding オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: vm-manager-access-binding
   subjects:
     - kind: User
       name: test-user
       apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: vm-manager-access
     apiGroup: rbac.authorization.k8s.io

6. クラスターロールバインディングを適用するには、次のコマンドを実行します。

   $ oc apply -f <filename>.yaml

7. 次のコマンドを実行して出力をチェックし、クラスターロールバインディングが作成されたことを確認します。

   $ oc get clusterrolebinding <name>

   出力例:

   NAME                        AGE
   vm-manager-access-binding   15s

検証

1. 次のコマンドを実行して、ユーザーが仮想マシンを起動できるかどうかを確認します。

   $ oc auth can-i update virtualmachines/start --namespace=<namespace> --as=<user_name> --subresource=subresources.kubevirt.io

   出力例:

   yes

2. 次のコマンドを実行して、ユーザーが仮想マシンを停止できるかどうかを確認します。

   $ oc auth can-i update virtualmachines/stop --namespace=<namespace> --as=<user_name> --group=subresources.kubevirt.io

   出力例:

   yes