1.6. Lightspeed とロールベースアクセス制御 (RBAC) について
ロールベースのアクセス制御 (RBAC) は、定義されたロールと権限を持つ承認済みユーザーへのシステムアクセスを制限するシステムセキュリティーアプローチです。
OpenShift Lightspeed RBAC はバイナリーです。デフォルトでは、すべてのクラスターユーザーが OpenShift Lightspeed インターフェイスにアクセスできるわけではありません。アクセス権は、権限を付与できるユーザーによって付与される必要があります。OpenShift Lightspeed がインストールされている OpenShift クラスターのすべてのユーザーには Lightspeed ボタンが表示されますが、権限を持つユーザーのみが Lightspeed に質問を送信できます。
OpenShift Lightspeed の RBAC 機能を評価する場合、クラスターには kubeadmin アカウント以外のユーザーが必要になります。kubeadmin アカウントは常に OpenShift Lightspeed にアクセスできます。
1.6.1. 個々のユーザーへのアクセスの付与
この手順では、個々のユーザーにアクセス権を付与する方法を説明します。
前提条件
-
cluster-adminロールを持つユーザーとして OpenShift Container Platform Web コンソールにログインしている。または、パーミッションを付与する権限を持つユーザーとしてログインしている。 - OpenShift Lightspeed サービスをデプロイしている。
- OpenShift CLI (oc) にアクセスできる。
手順
コマンドラインで次のコマンドを実行します。
$ oc adm policy add-cluster-role-to-user \ lightspeed-operator-query-access <user_name>
または、次のコマンドを使用して、個々のユーザーにアクセス権を付与するときに YAML ファイルを使用することもできます。
$ oc adm policy add-cluster-role-to-user lightspeed-operator-query-access <user_name> -o yaml --dry-run
ターミナルは次の出力を返します。
apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: creationTimestamp: null name: lightspeed-operator-query-access roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: lightspeed-operator-query-access subjects: - apiGroup: rbac.authorization.k8s.io kind: User name: <user_name> 1- 1
- オブジェクトを作成する前に、
<user_name>の代わりに実際のユーザー名を入力します。
出力を YAML ファイルとして保存し、次のコマンドを実行してユーザーアクセスを付与します。
$ oc create -f <yaml_filename>
1.6.2. ユーザーグループへのアクセスの付与
この手順では、ユーザーグループにアクセス権を付与する方法を説明します。クラスターにユーザーグループなど、より高度なアイデンティティー管理が設定されている場合は、特定のグループ内のすべてのユーザーに OpenShift Lightspeed サービスへのアクセス権を付与できます。
前提条件
-
cluster-adminロールを持つユーザーとして OpenShift Container Platform Web コンソールにログインしている。または、パーミッションを付与する権限を持つユーザーとしてログインしている。 - OpenShift Lightspeed サービスをデプロイしている。
- OpenShift CLI (oc) にアクセスできる。
手順
コマンドラインで次のコマンドを実行します。
$ oc adm policy add-cluster-role-to-group \ lightspeed-operator-query-access <group_name>
または、次のコマンドを使用して、ユーザーグループにアクセス権を付与するときに YAML ファイルを使用することもできます。
$ oc adm policy add-cluster-role-to-group lightspeed-operator-query-access <group_name> -o yaml --dry-run
ターミナルは次の出力を返します。
apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: creationTimestamp: null name: lightspeed-operator-query-access roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: lightspeed-operator-query-access subjects: - apiGroup: rbac.authorization.k8s.io kind: Group name: <user_group> 1- 1
- オブジェクトを作成する前に、
<user_group>の代わりに実際のユーザーグループを入力します。
出力を YAML ファイルとして保存し、次のコマンドを実行してユーザーグループへのアクセスを許可します。
$ oc create -f <yaml_filename>
