5.2. 확장 리소스에 대한 사용자 액세스

프로세스

1. 설치된 클러스터 확장에서 기본 클러스터 역할을 제공하지 않는 경우 하나 이상의 역할을 수동으로 생성합니다.

   1. "사용자를 위한 공통 기본 클러스터 역할"에 설명된 역할 세트에 대한 사용 사례를 고려하십시오.

      예를 들어 다음 ClusterRole 오브젝트 정의 중 하나 이상을 생성하여 < cluster_extension_api_group > 및 < cluster_extension_custom_resource >를 설치된 클러스터 확장에서 제공하는 실제 API 그룹 및 리소스 이름으로 교체합니다.

      view-custom-resource.yaml 파일 예

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: view-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - get
        - list
        - watch

      Copy to Clipboard Toggle word wrap

      edit-custom-resource.yaml 파일 예

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: edit-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - get
        - list
        - watch
        - create
        - update
        - patch
        - delete

      Copy to Clipboard Toggle word wrap

      admin-custom-resource.yaml 파일의 예

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: admin-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - '*' 

      1

      Copy to Clipboard Toggle word wrap

      1

      동사 에서 와일드카드(*)를 설정하면 지정된 리소스에 대한 모든 작업을 수행할 수 있습니다.

   2. 생성한 YAML 파일에 대해 다음 명령을 실행하여 클러스터 역할을 생성합니다.

      $ oc create -f <filename>.yaml

      Copy to Clipboard Toggle word wrap

2. 클러스터 역할을 특정 사용자 또는 그룹에 연결하여 클러스터 역할을 개별 사용자 또는 그룹 이름에 바인딩하여 리소스에 필요한 권한을 부여합니다.

   1. 모든 네임스페이스 또는 특정 네임스페이스 내에서 액세스 권한을 부여할 역할 바인딩에 대한 액세스 권한을 부여하는 클러스터 역할 바인딩에 대한 오브젝트 정의를 생성합니다.

      • 다음 예제 클러스터 역할 바인딩은 모든 네임스페이스의 사용자 정의 리소스에 대한 읽기 전용 보기 액세스 권한을 부여합니다.

        사용자에 대한 ClusterRoleBinding 오브젝트의 예

        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRoleBinding
        metadata:
          name: view-custom-resource-binding
        subjects:
        - kind: User
          name: <user_name>
        roleRef:
          kind: ClusterRole
          name: view-custom-resource
          apiGroup: rbac.authorization.k8s.io

        Copy to Clipboard Toggle word wrap

        사용자에 대한 ClusterRoleBinding 오브젝트의 예

        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRoleBinding
        metadata:
          name: view-custom-resource-binding
        subjects:
        - kind: Group
          name: <group_name>
        roleRef:
          kind: ClusterRole
          name: view-custom-resource
          apiGroup: rbac.authorization.k8s.io

        Copy to Clipboard Toggle word wrap

      • 다음 역할 바인딩에서는 특정 네임스페이스에 대한 편집 권한을 제한합니다.

        사용자에 대한 RoleBinding 오브젝트의 예

        apiVersion: rbac.authorization.k8s.io/v1
        kind: RoleBinding
        metadata:
          name: edit-custom-resource-edit-binding
          namespace: <namespace>
        subjects:
        - kind: User
          name: <username>
        roleRef:
          kind: Role
          name: custom-resource-edit
          apiGroup: rbac.authorization.k8s.io

        Copy to Clipboard Toggle word wrap

   2. 오브젝트 정의를 YAML 파일에 저장합니다.

   3. 다음 명령을 실행하여 오브젝트를 생성합니다.

      $ oc create -f <filename>.yaml

      Copy to Clipboard Toggle word wrap

프로세스

1. 클러스터 확장에서 제공하는 API 그룹과 리소스를 지정하는 클러스터 역할에 대한 개체 정의를 만들고 하나 이상의 기존 기본 클러스터 역할을 확장하기 위한 집계 레이블을 추가합니다.

   집계 레이블이 있는 ClusterRole 개체의 예

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: view-custom-resource-aggregated
     labels:
       rbac.authorization.k8s.io/aggregate-to-view: "true"
   rules:
     - apiGroups:
         - <cluster_extension_api_group>
       resources:
         - <cluster_extension_custom_resource>
       verbs:
         - get
         - list
         - watch

   Copy to Clipboard Toggle word wrap

   create , update , delete 와 같은 적절한 동사를 사용하여 edit 및 admin에 대한 유사한 ClusterRole 객체를 만들 수 있습니다. 집계 레이블을 사용하면 사용자 지정 리소스에 대한 권한이 기본 역할에 추가됩니다.

2. 개체 정의를 YAML 파일에 저장합니다.

3. 다음 명령을 실행하여 객체를 생성합니다.

   $ oc create -f <filename>.yaml

   Copy to Clipboard Toggle word wrap