18.7. マルチテナンシーについて
Red Hat Advanced Cluster Security for Kubernetes には、Central インスタンス内にマルチテナンシーを実装する方法が用意されています。
マルチテナンシーは、RHACS 内のロールベースアクセス制御 (RBAC) とアクセススコープを使用して実装できます。
18.7.1. リソーススコープについて
RHACS には、RBAC 内で使用されるリソースが組み込まれています。各リソースには、権限が関連付けられているだけでなく、スコープが指定されています。
RHACS では、リソースに次のタイプのスコープが指定されています。
- グローバルスコープ。リソースはクラスターにも namespace にも割り当てられません。
- クラスタースコープ。リソースは特定のクラスターに割り当てられます。
- namespace スコープ。リソースは特定の namespace に割り当てられます。
カスタムのアクセススコープを作成するときは、リソースのスコープが重要です。カスタムのアクセススコープは、RHACS 内でマルチテナンシーを実現するために使用します。
アクセススコープでのスコープ指定には、クラスタースコープか namespace スコープのリソースのみが適用されます。グローバルスコープのリソースは、アクセススコープによってスコープ指定されません。したがって、RHACS 内のマルチテナンシーは、クラスターまたは namespace によってスコープ指定されたリソースに対してのみ実現できます。
18.7.2. namespace ごとのマルチテナンシーの例
RHACS 内のマルチテナンシーの一般的な例としては、ユーザーを特定の namespace に関連付け、特定の namespace へのアクセスのみを許可することが挙げられます。
次の例では、カスタム権限セット、アクセススコープ、およびロールを組み合わせています。このロールが割り当てられたユーザーまたはグループは、自分に対するスコープが指定された特定の namespace またはクラスター内のデプロイメントに関する CVE 情報、違反、および情報のみを表示できます。
手順
-
RHACS ポータルで、Platform Configuration
Access Control を選択します。 - Permission Sets を選択します。
- Create permission set をクリックします。
- 権限セットの Name と Description を入力します。
次のリソースとアクセスレベルを選択し、Save をクリックします。
-
Alert の
READ -
Deployment の
READ -
DeploymentExtension の
READ -
Image の
READ -
K8sRole の
READ -
K8sRoleBinding の
READ -
K8sSubject の
READ -
NetworkGraph の
READ -
NetworkPolicy の
READ -
Secret の
READ -
ServiceAccount の
READ
-
Alert の
- Access Scopes を選択します。
- Create access scope をクリックします。
- アクセススコープの Name と Description を入力します。
- Allowed resources セクションで、スコープ指定に使用する namespace を選択し、Save をクリックします。
- Roles を選択します。
- Create role をクリックします。
- ロールの Name と Description を入力します。
- 以前に作成したロールの Permission Set と Access scope を選択し、Save をクリックします。
- 必要なユーザーまたはグループにロールを割り当てます。ユーザーまたはグループへのロールの割り当て を参照してください。
このサンプルロールが割り当てられたユーザーの RHACS ダッシュボードのオプションは、管理者が使用できるオプションと比べて、最小限に抑えられています。このユーザーには、関連するページのみが表示されます。
18.7.3. 制限事項
グローバルスコープ を持つリソースでは、RHACS 内でマルチテナンシーを実現できません。
次のリソースはグローバルスコープを持ちます。
- Access
- Administration
- Detection
- Integration
- VulnerabilityManagementApprovals
- VulnerabilityManagementRequests
- WatchedImage
- WorkflowAdministration
これらのリソースは、RHACS Central インスタンス内のすべてのユーザー間で共有され、スコープを指定することはできません。
