角色 API

第 1 章角色 API

1.1. ClusterRoleBinding [authorization.openshift.io/v1]

描述

ClusterRoleBinding 引用 ClusterRole，但不包含它。它可以引用同一命名空间或全局命名空间中的任何 ClusterRole。它通过（用户和组）添加哪些命名空间信息（用户和组）或主题和命名空间信息。给定命名空间中的 Clusterrolebindings 仅在该命名空间中具有影响（除了在所有命名空间中具有电源的 master 命名空间除外）。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

对象

1.2. ClusterRole [authorization.openshift.io/v1]

描述

ClusterRole 是 PolicyRules 的逻辑分组，可以被 ClusterRoleBindings 引用为单元。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

对象

1.3. RoleBindingRestriction [authorization.openshift.io/v1]

描述: RoleBindingRestriction 是一个对象，可与主题（用户、组或服务帐户）匹配，以确定该主题上的 rolebindings 是否被允许在 RoleBindingRestriction 所属的命名空间中。如果其中任何一个 RoleBindingRestriction 对象与一个 subject 匹配，则允许命名空间中的该主题的 rolebindings。兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。
类型: 对象

1.4. RoleBinding [authorization.openshift.io/v1]

描述

Rolebinding 引用 Role，但不包含它。它可以引用同一命名空间或全局命名空间中的任何角色。它通过（用户和组）添加哪些命名空间信息（用户和组）或主题和命名空间信息。给定命名空间中的 rolebindings 仅在该命名空间中生效（除了在所有命名空间中具有电源的 master 命名空间除外）。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

对象

1.5. Role [authorization.openshift.io/v1]

描述

role 是 PolicyRules 的逻辑分组，可由 RoleBindings 指代为单元。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

对象

第 2 章 ClusterRoleBinding [authorization.openshift.io/v1]

描述

ClusterRoleBinding 引用 ClusterRole，但不包含它。它可以引用同一命名空间或全局命名空间中的任何 ClusterRole。它通过（用户和组）添加哪些命名空间信息（用户和组）或主题和命名空间信息。给定命名空间中的 Clusterrolebindings 仅在该命名空间中具有影响（除了在所有命名空间中具有电源的 master 命名空间除外）。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

object

必填

subjects
roleRef

2.1. 规格

属性	类型	描述
`apiVersion`	`字符串`	APIVersion 定义对象的这个表示法的版本化的 schema。服务器应该将识别的模式转换为最新的内部值，并可拒绝未识别的值。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`groupNames`	`数组（字符串）`	groupnames 包含直接绑定到角色的所有组。只有在支持旧的客户端和服务器时，才应指定此字段。详情请查看主题。
`kind`	`字符串`	kind 是一个字符串值，代表此对象所代表的 REST 资源。服务器可以从客户端向其提交请求的端点推断。无法更新。采用驼峰拼写法 (CamelCase)。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata`	`ObjectMeta`
`roleRef`	`ObjectReference`	roleRef 只能引用当前命名空间和全局命名空间。如果无法解析 ClusterRoleRef，Authorizer 必须返回错误。由于 Policy 是单例，因此这足以找到角色。
`subjects`	`array (ObjectReference)`	subjects hold 对象引用来授权此规则。如果指定了 UserNames 或 GroupNames 来支持旧的客户端和服务器，则此字段将被忽略。因此，不需要向后兼容的较新的客户端应该只发送完全限定主题，并应省略 UserNames 和 GroupNames 字段。需要向后兼容的客户端可以使用此字段构建 UserNames 和 GroupNames。
`userNames`	`数组（字符串）`	用户名包含直接绑定到角色的所有用户名。只有在支持旧的客户端和服务器时，才应指定此字段。详情请查看主题。

2.2. API 端点

可用的 API 端点如下：

/apis/authorization.openshift.io/v1/clusterrolebindings
- GET ：列出 ClusterRoleBinding 类型的对象
- POST ：创建 ClusterRoleBinding
/apis/authorization.openshift.io/v1/clusterrolebindings/{name}
- DELETE ：删除 ClusterRoleBinding
- GET ：读取指定的 ClusterRoleBinding
- PATCH: 部分更新指定的 ClusterRoleBinding
- PUT ：替换指定的 ClusterRoleBinding

2.2.1. /apis/authorization.openshift.io/v1/clusterrolebindings

表 2.1. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: GET
描述: 列出 ClusterRoleBinding 类型的对象

表 2.2. 查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

表 2.3. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRoleBindingList` 模式
401 - Unauthorized	空

HTTP 方法: POST
描述: 创建 ClusterRoleBinding

表 2.4. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 2.5. 主体参数
参数	类型	描述
`正文（body）`	`ClusterRoleBinding` 模式

表 2.6. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRoleBinding` 模式
201 - Created	`ClusterRoleBinding` 模式
202 - Accepted	`ClusterRoleBinding` 模式
401 - Unauthorized	空

2.2.2. /apis/authorization.openshift.io/v1/clusterrolebindings/{name}

表 2.7. 全局路径参数
参数	类型	描述
`name`	`字符串`	ClusterRoleBinding 的名称

表 2.8. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: DELETE
描述: 删除 ClusterRoleBinding

表 2.9. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`gracePeriodSeconds`	`整数`	应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值为零表示立即删除。如果这个值是 nil，则会使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。
`orphanDependents`	`布尔值`	弃用：请使用 PropagationPolicy，此字段将在 1.7 中弃用。如果依赖对象是孤立的。如果为 true/false，则 "orphan" finalizer 将添加到对象的终结器列表中。可以设置此字段或 PropagationPolicy，但不能同时设置。
`propagationPolicy`	`字符串`	是否执行垃圾回收。可以设置此字段或 OrphanDependents，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值有： 'Orphan' - 孤立的依赖项; 'Background' - 允许垃圾收集器删除依赖项，"Foreground' - 删除前台所有依赖的级联策略。

表 2.10. 主体参数
参数	类型	描述
`正文（body）`	`DeleteOptions` 模式

表 2.11. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Status` 模式
202 - Accepted	`Status` 模式
401 - Unauthorized	空

HTTP 方法: GET
描述: 阅读指定的 ClusterRoleBinding

表 2.12. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRoleBinding` 模式
401 - Unauthorized	空

HTTP 方法: PATCH
描述: 部分更新指定的 ClusterRoleBinding

表 2.13. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。应用请求(application/apply-patch)需要此字段，但对非应用补丁类型(JsonPatch、MergePatch、MergePatch)是可选的。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。
`force`	`布尔值`	强制要"强制"应用请求。这意味着用户将重新分配由其他人员拥有的冲突字段。对于非应用补丁请求，必须取消设置 force 标志。

表 2.14. 主体参数
参数	类型	描述
`正文（body）`	`Patch` 模式

表 2.15. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRoleBinding` 模式
201 - Created	`ClusterRoleBinding` 模式
401 - Unauthorized	空

HTTP 方法: PUT
描述: 替换指定的 ClusterRoleBinding

表 2.16. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 2.17. 主体参数
参数	类型	描述
`正文（body）`	`ClusterRoleBinding` 模式

表 2.18. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRoleBinding` 模式
201 - Created	`ClusterRoleBinding` 模式
401 - Unauthorized	空

第 3 章 ClusterRole [authorization.openshift.io/v1]

描述

ClusterRole 是 PolicyRules 的逻辑分组，可以被 ClusterRoleBindings 引用为单元。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

object

必填

rules

3.1. 规格

属性	类型	描述
`aggregationRule`	`AggregationRule`	AggregationRule 是一个可选字段，描述了如何为此 ClusterRole 构建规则。如果设置了 AggregationRule，则规则会被管理，对 Rules 的直接更改将由控制器处理。
`apiVersion`	`字符串`	APIVersion 定义对象的这个表示法的版本化的 schema。服务器应该将识别的模式转换为最新的内部值，并可拒绝未识别的值。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`kind`	`字符串`	kind 是一个字符串值，代表此对象所代表的 REST 资源。服务器可以从客户端向其提交请求的端点推断。无法更新。采用驼峰拼写法 (CamelCase)。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata`	`ObjectMeta`
`rules`	`array`	规则包含此 ClusterRole 的所有 PolicyRules
`rules[]`	`object`	PolicyRule 包含描述策略规则的信息，但不包含有关规则应用到谁或规则应用到哪个命名空间的信息。

3.1.1. .rules

描述: 规则包含此 ClusterRole 的所有 PolicyRules
类型: array

3.1.2. .rules[]

描述

PolicyRule 包含描述策略规则的信息，但不包含有关规则应用到谁或规则应用到哪个命名空间的信息。

类型

object

必填

verbs
resources

属性	类型	描述
`apiGroups`	`数组（字符串）`	APIGroups 是包含资源的 APIGroup 的名称。如果此字段为空，则假定为 kubernetes 和 origin API 组。这意味着，如果针对 kubernetes 或 origin API 组中的一个枚举的资源请求一个操作，则这个请求被允许
`attributeRestrictions`	`RawExtension`	AttributeRestrictions 将根据 Authorizer/AuthorizationAttributeBuilder 对支持的不同而有所不同。如果 Authorizer 无法识别如何处理 AttributeRestrictions，Authorizer 应报告错误。
`nonResourceURLs`	`数组（字符串）`	NonResourceURLsSlice 是用户应该有权访问的一组部分 URL。* 是被允许访问的，但只在完整的情况下，路径的最后一步。这个名称有意与 internal 类型不同，因此 DefaultConvert 可以正常工作，因为排序可能会不同。
`resourceNames`	`数组（字符串）`	resourceNames 是一个可选的规则应用到的名称白名单。空集表示所有都会被允许。
`resources`	`数组（字符串）`	resources 是一组这个规则应用到的资源列表。ResourceAll 代表所有资源。
`verbs`	`数组（字符串）`	verbs 是一个 Verbs 列表，这些 Verbs 会应用到在此规则中包含的所有 ResourceKinds 和 AttributeRestrictions 。VerbAll 代表所有种类。

3.2. API 端点

可用的 API 端点如下：

/apis/authorization.openshift.io/v1/clusterroles
- GET: 列出 ClusterRole 类型的对象
- POST ：创建 ClusterRole
/apis/authorization.openshift.io/v1/clusterroles/{name}
- DELETE ：删除 ClusterRole
- GET ：读取指定的 ClusterRole
- PATCH: 部分更新指定的 ClusterRole
- PUT ：替换指定的 ClusterRole

3.2.1. /apis/authorization.openshift.io/v1/clusterroles

表 3.1. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: GET
描述: 列出 ClusterRole 类型的对象

表 3.2. 查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

表 3.3. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRoleList` 模式
401 - Unauthorized	空

HTTP 方法: POST
描述: 创建 ClusterRole

表 3.4. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 3.5. 主体参数
参数	类型	描述
`正文（body）`	`ClusterRole` 模式

表 3.6. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRole` 模式
201 - Created	`ClusterRole` 模式
202 - Accepted	`ClusterRole` 模式
401 - Unauthorized	空

3.2.2. /apis/authorization.openshift.io/v1/clusterroles/{name}

表 3.7. 全局路径参数
参数	类型	描述
`name`	`字符串`	ClusterRole 的名称

表 3.8. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: DELETE
描述: 删除 ClusterRole

表 3.9. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`gracePeriodSeconds`	`整数`	应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值为零表示立即删除。如果这个值是 nil，则会使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。
`orphanDependents`	`布尔值`	弃用：请使用 PropagationPolicy，此字段将在 1.7 中弃用。如果依赖对象是孤立的。如果为 true/false，则 "orphan" finalizer 将添加到对象的终结器列表中。可以设置此字段或 PropagationPolicy，但不能同时设置。
`propagationPolicy`	`字符串`	是否执行垃圾回收。可以设置此字段或 OrphanDependents，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值有： 'Orphan' - 孤立的依赖项; 'Background' - 允许垃圾收集器删除依赖项，"Foreground' - 删除前台所有依赖的级联策略。

表 3.10. 主体参数
参数	类型	描述
`正文（body）`	`DeleteOptions` 模式

表 3.11. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Status` 模式
202 - Accepted	`Status` 模式
401 - Unauthorized	空

HTTP 方法: GET
描述: 读取指定的 ClusterRole

表 3.12. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRole` 模式
401 - Unauthorized	空

HTTP 方法: PATCH
描述: 部分更新指定的 ClusterRole

表 3.13. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。应用请求(application/apply-patch)需要此字段，但对非应用补丁类型(JsonPatch、MergePatch、MergePatch)是可选的。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。
`force`	`布尔值`	强制要"强制"应用请求。这意味着用户将重新分配由其他人员拥有的冲突字段。对于非应用补丁请求，必须取消设置 force 标志。

表 3.14. 主体参数
参数	类型	描述
`正文（body）`	`Patch` 模式

表 3.15. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRole` 模式
201 - Created	`ClusterRole` 模式
401 - Unauthorized	空

HTTP 方法: PUT
描述: 替换指定的 ClusterRole

表 3.16. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 3.17. 主体参数
参数	类型	描述
`正文（body）`	`ClusterRole` 模式

表 3.18. HTTP 响应
HTTP 代码	响应正文
200 - OK	`ClusterRole` 模式
201 - Created	`ClusterRole` 模式
401 - Unauthorized	空

第 4 章 RoleBindingRestriction [authorization.openshift.io/v1]

描述: RoleBindingRestriction 是一个对象，可与主题（用户、组或服务帐户）匹配，以确定该主题上的 rolebindings 是否被允许在 RoleBindingRestriction 所属的命名空间中。如果其中任何一个 RoleBindingRestriction 对象与一个 subject 匹配，则允许命名空间中的该主题的 rolebindings。兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。
类型: 对象

4.1. 规格

属性	类型	描述
`apiVersion`	`字符串`	APIVersion 定义对象的这个表示法的版本化的 schema。服务器应该将识别的模式转换为最新的内部值，并可拒绝未识别的值。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`kind`	`字符串`	kind 是一个字符串值，代表此对象所代表的 REST 资源。服务器可以从客户端向其提交请求的端点推断。无法更新。采用驼峰拼写法 (CamelCase)。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata`	`ObjectMeta`	标准对象元数据。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata
`spec`	`对象`	spec 定义匹配器。

4.1.1. .spec

描述: spec 定义匹配器。
类型: object

属性	类型	描述
`grouprestriction`	``	GroupRestriction 匹配组主题。
`serviceaccountrestriction`	``	ServiceAccountRestriction 与 service-account 主题匹配。
`userrestriction`	``	UserRestriction 与用户主题匹配。

4.2. API 端点

可用的 API 端点如下：

/apis/authorization.openshift.io/v1/rolebindingrestrictions
- GET: 列出 RoleBindingRestriction 类型的对象
/apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindingrestrictions
- DELETE: delete collection of RoleBindingRestriction
- GET: 列出 RoleBindingRestriction 类型的对象
- POST ：创建 RoleBindingRestriction
/apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindingrestrictions/{name}
- DELETE: delete a RoleBindingRestriction
- GET ：读取指定的 RoleBindingRestriction
- PATCH: 部分更新指定的 RoleBindingRestriction
- PUT ：替换指定的 RoleBindingRestriction

4.2.1. /apis/authorization.openshift.io/v1/rolebindingrestrictions

表 4.1. 全局查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

HTTP 方法: GET
描述: 列出 RoleBindingRestriction 类型的对象

表 4.2. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingRestrictionList` schema
401 - Unauthorized	空

4.2.2. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindingrestrictions

表 4.3. 全局路径参数
参数	类型	描述
`namespace`	`字符串`	对象名称和身份验证范围，如团队（team）和项目（project）

表 4.4. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: DELETE
描述: 删除 RoleBindingRestriction 集合

表 4.5. 查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

表 4.6. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Status` 模式
401 - Unauthorized	空

HTTP 方法: GET
描述: 列出 RoleBindingRestriction 类型的对象

表 4.7. 查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

表 4.8. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingRestrictionList` schema
401 - Unauthorized	空

HTTP 方法: POST
描述: 创建 RoleBindingRestriction

表 4.9. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 4.10. 主体参数
参数	类型	描述
`正文（body）`	`RoleBindingRestriction` 模式

表 4.11. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingRestriction` 模式
201 - Created	`RoleBindingRestriction` 模式
202 - Accepted	`RoleBindingRestriction` 模式
401 - Unauthorized	空

4.2.3. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindingrestrictions/{name}

表 4.12. 全局路径参数
参数	类型	描述
`name`	`字符串`	RoleBindingRestriction 的名称
`namespace`	`字符串`	对象名称和身份验证范围，如团队（team）和项目（project）

表 4.13. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: DELETE
描述: delete a RoleBindingRestriction

表 4.14. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`gracePeriodSeconds`	`整数`	应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值为零表示立即删除。如果这个值是 nil，则会使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。
`orphanDependents`	`布尔值`	弃用：请使用 PropagationPolicy，此字段将在 1.7 中弃用。如果依赖对象是孤立的。如果为 true/false，则 "orphan" finalizer 将添加到对象的终结器列表中。可以设置此字段或 PropagationPolicy，但不能同时设置。
`propagationPolicy`	`字符串`	是否执行垃圾回收。可以设置此字段或 OrphanDependents，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值有： 'Orphan' - 孤立的依赖项; 'Background' - 允许垃圾收集器删除依赖项，"Foreground' - 删除前台所有依赖的级联策略。

表 4.15. 主体参数
参数	类型	描述
`正文（body）`	`DeleteOptions` 模式

表 4.16. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Status` 模式
202 - Accepted	`Status` 模式
401 - Unauthorized	空

HTTP 方法: GET
描述: 读取指定的 RoleBindingRestriction

表 4.17. 查询参数
参数	类型	描述
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置

表 4.18. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingRestriction` 模式
401 - Unauthorized	空

HTTP 方法: PATCH
描述: 部分更新指定的 RoleBindingRestriction

表 4.19. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 4.20. 主体参数
参数	类型	描述
`正文（body）`	`Patch` 模式

表 4.21. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingRestriction` 模式
401 - Unauthorized	空

HTTP 方法: PUT
描述: 替换指定的 RoleBindingRestriction

表 4.22. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 4.23. 主体参数
参数	类型	描述
`正文（body）`	`RoleBindingRestriction` 模式

表 4.24. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingRestriction` 模式
201 - Created	`RoleBindingRestriction` 模式
401 - Unauthorized	空

第 5 章 RoleBinding [authorization.openshift.io/v1]

描述

Rolebinding 引用 Role，但不包含它。它可以引用同一命名空间或全局命名空间中的任何角色。它通过（用户和组）添加哪些命名空间信息（用户和组）或主题和命名空间信息。给定命名空间中的 rolebindings 仅在该命名空间中生效（除了在所有命名空间中具有电源的 master 命名空间除外）。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

object

必填

subjects
roleRef

5.1. 规格

属性	类型	描述
`apiVersion`	`字符串`	APIVersion 定义对象的这个表示法的版本化的 schema。服务器应该将识别的模式转换为最新的内部值，并可拒绝未识别的值。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`groupNames`	`数组（字符串）`	groupnames 包含直接绑定到角色的所有组。只有在支持旧的客户端和服务器时，才应指定此字段。详情请查看主题。
`kind`	`字符串`	kind 是一个字符串值，代表此对象所代表的 REST 资源。服务器可以从客户端向其提交请求的端点推断。无法更新。采用驼峰拼写法 (CamelCase)。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata`	`ObjectMeta`
`roleRef`	`ObjectReference`	roleRef 只能引用当前命名空间和全局命名空间。如果无法解析 RoleRef，Authorizer 必须返回错误。由于 Policy 是单例，因此这足以找到角色。
`subjects`	`array (ObjectReference)`	subjects hold 对象引用来授权此规则。如果指定了 UserNames 或 GroupNames 来支持旧的客户端和服务器，则此字段将被忽略。因此，不需要向后兼容的较新的客户端应该只发送完全限定主题，并应省略 UserNames 和 GroupNames 字段。需要向后兼容的客户端可以使用此字段构建 UserNames 和 GroupNames。
`userNames`	`数组（字符串）`	用户名包含直接绑定到角色的所有用户名。只有在支持旧的客户端和服务器时，才应指定此字段。详情请查看主题。

5.2. API 端点

可用的 API 端点如下：

/apis/authorization.openshift.io/v1/rolebindings
- GET ：列出类型为 RoleBinding 的对象
/apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindings
- GET ：列出类型为 RoleBinding 的对象
- POST ：创建 RoleBinding
/apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindings/{name}
- DELETE ：删除 RoleBinding
- GET ：读取指定的 RoleBinding
- PATCH: 部分更新指定的 RoleBinding
- PUT ：替换指定的 RoleBinding

5.2.1. /apis/authorization.openshift.io/v1/rolebindings

表 5.1. 全局查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

HTTP 方法: GET
描述: 列出 RoleBinding 类型的对象

表 5.2. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingList` 模式
401 - Unauthorized	空

5.2.2. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindings

表 5.3. 全局路径参数
参数	类型	描述
`namespace`	`字符串`	对象名称和身份验证范围，如团队（team）和项目（project）

表 5.4. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: GET
描述: 列出 RoleBinding 类型的对象

表 5.5. 查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

表 5.6. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleBindingList` 模式
401 - Unauthorized	空

HTTP 方法: POST
描述: 创建 RoleBinding

表 5.7. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 5.8. 主体参数
参数	类型	描述
`正文（body）`	`Rolebinding` 模式

表 5.9. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Rolebinding` 模式
201 - Created	`Rolebinding` 模式
202 - Accepted	`Rolebinding` 模式
401 - Unauthorized	空

5.2.3. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindings/{name}

表 5.10. 全局路径参数
参数	类型	描述
`name`	`字符串`	RoleBinding 的名称
`namespace`	`字符串`	对象名称和身份验证范围，如团队（team）和项目（project）

表 5.11. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: DELETE
描述: 删除 RoleBinding

表 5.12. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`gracePeriodSeconds`	`整数`	应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值为零表示立即删除。如果这个值是 nil，则会使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。
`orphanDependents`	`布尔值`	弃用：请使用 PropagationPolicy，此字段将在 1.7 中弃用。如果依赖对象是孤立的。如果为 true/false，则 "orphan" finalizer 将添加到对象的终结器列表中。可以设置此字段或 PropagationPolicy，但不能同时设置。
`propagationPolicy`	`字符串`	是否执行垃圾回收。可以设置此字段或 OrphanDependents，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值有： 'Orphan' - 孤立的依赖项; 'Background' - 允许垃圾收集器删除依赖项，"Foreground' - 删除前台所有依赖的级联策略。

表 5.13. 主体参数
参数	类型	描述
`正文（body）`	`DeleteOptions` 模式

表 5.14. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Status` 模式
202 - Accepted	`Status` 模式
401 - Unauthorized	空

HTTP 方法: GET
描述: 读取指定的 RoleBinding

表 5.15. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Rolebinding` 模式
401 - Unauthorized	空

HTTP 方法: PATCH
描述: 部分更新指定的 RoleBinding

表 5.16. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。应用请求(application/apply-patch)需要此字段，但对非应用补丁类型(JsonPatch、MergePatch、MergePatch)是可选的。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。
`force`	`布尔值`	强制要"强制"应用请求。这意味着用户将重新分配由其他人员拥有的冲突字段。对于非应用补丁请求，必须取消设置 force 标志。

表 5.17. 主体参数
参数	类型	描述
`正文（body）`	`Patch` 模式

表 5.18. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Rolebinding` 模式
201 - Created	`Rolebinding` 模式
401 - Unauthorized	空

HTTP 方法: PUT
描述: 替换指定的 RoleBinding

表 5.19. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 5.20. 主体参数
参数	类型	描述
`正文（body）`	`Rolebinding` 模式

表 5.21. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Rolebinding` 模式
201 - Created	`Rolebinding` 模式
401 - Unauthorized	空

第 6 章 Role [authorization.openshift.io/v1]

描述

role 是 PolicyRules 的逻辑分组，可由 RoleBindings 指代为单元。

兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。

类型

object

必填

rules

6.1. 规格

属性	类型	描述
`apiVersion`	`字符串`	APIVersion 定义对象的这个表示法的版本化的 schema。服务器应该将识别的模式转换为最新的内部值，并可拒绝未识别的值。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`kind`	`字符串`	kind 是一个字符串值，代表此对象所代表的 REST 资源。服务器可以从客户端向其提交请求的端点推断。无法更新。采用驼峰拼写法 (CamelCase)。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata`	`ObjectMeta`
`rules`	`array`	规则包含此角色的所有 PolicyRules
`rules[]`	`object`	PolicyRule 包含描述策略规则的信息，但不包含有关规则应用到谁或规则应用到哪个命名空间的信息。

6.1.1. .rules

描述: 规则包含此角色的所有 PolicyRules
类型: array

6.1.2. .rules[]

描述

PolicyRule 包含描述策略规则的信息，但不包含有关规则应用到谁或规则应用到哪个命名空间的信息。

类型

object

必填

verbs
resources

属性	类型	描述
`apiGroups`	`数组（字符串）`	APIGroups 是包含资源的 APIGroup 的名称。如果此字段为空，则假定为 kubernetes 和 origin API 组。这意味着，如果针对 kubernetes 或 origin API 组中的一个枚举的资源请求一个操作，则这个请求被允许
`attributeRestrictions`	`RawExtension`	AttributeRestrictions 将根据 Authorizer/AuthorizationAttributeBuilder 对支持的不同而有所不同。如果 Authorizer 无法识别如何处理 AttributeRestrictions，Authorizer 应报告错误。
`nonResourceURLs`	`数组（字符串）`	NonResourceURLsSlice 是用户应该有权访问的一组部分 URL。* 是被允许访问的，但只在完整的情况下，路径的最后一步。这个名称有意与 internal 类型不同，因此 DefaultConvert 可以正常工作，因为排序可能会不同。
`resourceNames`	`数组（字符串）`	resourceNames 是一个可选的规则应用到的名称白名单。空集表示所有都会被允许。
`resources`	`数组（字符串）`	resources 是一组这个规则应用到的资源列表。ResourceAll 代表所有资源。
`verbs`	`数组（字符串）`	verbs 是一个 Verbs 列表，这些 Verbs 会应用到在此规则中包含的所有 ResourceKinds 和 AttributeRestrictions 。VerbAll 代表所有种类。

6.2. API 端点

可用的 API 端点如下：

/apis/authorization.openshift.io/v1/roles
- GET ：列出类型为 Role 的对象
/apis/authorization.openshift.io/v1/namespaces/{namespace}/roles
- GET ：列出类型为 Role 的对象
- POST ：创建角色
/apis/authorization.openshift.io/v1/namespaces/{namespace}/roles/{name}
- DELETE ：删除角色
- GET ：读取指定的角色
- PATCH: 部分更新指定的角色
- PUT ：替换指定的角色

6.2.1. /apis/authorization.openshift.io/v1/roles

表 6.1. 全局查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

HTTP 方法: GET
描述: 列出 Role 类型的对象

表 6.2. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleList` 模式
401 - Unauthorized	空

6.2.2. /apis/authorization.openshift.io/v1/namespaces/{namespace}/roles

表 6.3. 全局路径参数
参数	类型	描述
`namespace`	`字符串`	对象名称和身份验证范围，如团队（team）和项目（project）

表 6.4. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: GET
描述: 列出 Role 类型的对象

表 6.5. 查询参数
参数	类型	描述
`allowWatchBookmarks`	`布尔值`	allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。不实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。
`继续`	`字符串`	从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须重启其列表，而无需 continue 字段。否则，客户端可能会发送另一个带有 410 错误接收的令牌的列表请求，服务器将以从下一个密钥开始开始的列表响应，但从最新的快照开始，这与上一个列表结果中不一致 - 在第一个列表请求后将包含在响应中，只要它们的密钥位于 "next key" 后。当 watch 为 true 时不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值开始监视，而不丢失任何修改。
`fieldSelector`	`字符串`	一个选择器，用于限制其字段返回的对象列表。默认为任何内容。
`labelSelector`	`字符串`	一个选择器，用于限制其标签返回的对象列表。默认为任何内容。
`limit`	`整数`	limit 是列表调用返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的 `continue` 字段设置为可用于同一初始查询的值，以检索下一个结果集合。如果过滤所有请求的对象，则设置限制可能会返回少于请求项目数量（最多为零项），并且客户端只应使用 continue 字段的存在，以确定是否有更多结果可用。服务器可能会选择不支持 limit 参数，并返回所有可用的结果。如果指定了 limit，并且 continue 字段为空，客户端可能会假定没有更多结果可用。如果 watch 为 true，则不支持此字段。服务器保证，在使用时返回的对象将与在没有限制限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后没有创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制来接收非常大结果的较小的块的客户端可确保它们看到所有可能的对象。如果在块列表中更新对象，则返回第一个列表结果时存在的对象版本。
`resourceVersion`	`字符串`	resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置
`resourceVersionMatch`	`字符串`	resourceVersionMatch 决定如何将 resourceVersion 应用到列表调用。强烈建议您为设置 resourceVersion 的 list 调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。默认为未设置
`timeoutSeconds`	`整数`	列表/watch 调用的超时。这限制了调用的持续时间，无论任何活动或不活跃。
`watch`	`布尔值`	观察对所描述资源的更改，并将它们作为添加、更新和删除通知的流返回。指定 resourceVersion。

表 6.6. HTTP 响应
HTTP 代码	响应正文
200 - OK	`RoleList` 模式
401 - Unauthorized	空

HTTP 方法: POST
描述: 创建角色

表 6.7. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 6.8. 主体参数
参数	类型	描述
`正文（body）`	`Role` 模式

表 6.9. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Role` 模式
201 - Created	`Role` 模式
202 - Accepted	`Role` 模式
401 - Unauthorized	空

6.2.3. /apis/authorization.openshift.io/v1/namespaces/{namespace}/roles/{name}

表 6.10. 全局路径参数
参数	类型	描述
`name`	`字符串`	角色的名称
`namespace`	`字符串`	对象名称和身份验证范围，如团队（team）和项目（project）

表 6.11. 全局查询参数
参数	类型	描述
`pretty`	`字符串`	如果为 'true'，则输出会经过 pretty print 处理。

HTTP 方法: DELETE
描述: 删除角色

表 6.12. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`gracePeriodSeconds`	`整数`	应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值为零表示立即删除。如果这个值是 nil，则会使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。
`orphanDependents`	`布尔值`	弃用：请使用 PropagationPolicy，此字段将在 1.7 中弃用。如果依赖对象是孤立的。如果为 true/false，则 "orphan" finalizer 将添加到对象的终结器列表中。可以设置此字段或 PropagationPolicy，但不能同时设置。
`propagationPolicy`	`字符串`	是否执行垃圾回收。可以设置此字段或 OrphanDependents，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值有： 'Orphan' - 孤立的依赖项; 'Background' - 允许垃圾收集器删除依赖项，"Foreground' - 删除前台所有依赖的级联策略。

表 6.13. 主体参数
参数	类型	描述
`正文（body）`	`DeleteOptions` 模式

表 6.14. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Status` 模式
202 - Accepted	`Status` 模式
401 - Unauthorized	空

HTTP 方法: GET
描述: 读取指定的角色

表 6.15. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Role` 模式
401 - Unauthorized	空

HTTP 方法: PATCH
描述: 部分更新指定的角色

表 6.16. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。应用请求(application/apply-patch)需要此字段，但对非应用补丁类型(JsonPatch、MergePatch、MergePatch)是可选的。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。
`force`	`布尔值`	强制要"强制"应用请求。这意味着用户将重新分配由其他人员拥有的冲突字段。对于非应用补丁请求，必须取消设置 force 标志。

表 6.17. 主体参数
参数	类型	描述
`正文（body）`	`Patch` 模式

表 6.18. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Role` 模式
201 - Created	`Role` 模式
401 - Unauthorized	空

HTTP 方法: PUT
描述: 替换指定的角色

表 6.19. 查询参数
参数	类型	描述
`dryRun`	`字符串`	出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理
`fieldManager`	`字符串`	fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。
`fieldValidation`	`string`	fieldValidation 指示服务器如何处理请求(POST/PUT/PATCH)中包含未知或重复字段的对象，只要 `ServerSideFieldValidation` 功能门也被启用。有效值为： - Ignore ：忽略从对象中静默丢弃的未知字段，并将忽略所有除最后一个重复字段以外的所有字段。这是 v1.23 之前的默认行为，是 `ServerSideFieldValidation` 功能门被禁用时的默认行为。- Warn: 这将通过从对象丢弃的每个未知字段的标准警告响应标头发送警告，以及遇到的每个重复字段。如果没有其他错误，请求仍会成功，且只保留重复字段的最后一个。当 `ServerSideFieldValidation` 功能门被启用时，这是默认设置。- Strict: 如果从对象中丢弃任何未知字段，则会失败并带有 BadRequest 错误，或者存在任何重复字段。从服务器返回的错误将包含遇到的，以及重复的字段。

表 6.20. 主体参数
参数	类型	描述
`正文（body）`	`Role` 模式

表 6.21. HTTP 响应
HTTP 代码	响应正文
200 - OK	`Role` 模式
201 - Created	`Role` 模式
401 - Unauthorized	空

角色 API 的参考指南

第 1 章 角色 API

1.1. ClusterRoleBinding [authorization.openshift.io/v1]

1.2. ClusterRole [authorization.openshift.io/v1]

1.3. RoleBindingRestriction [authorization.openshift.io/v1]

1.4. RoleBinding [authorization.openshift.io/v1]

1.5. Role [authorization.openshift.io/v1]

第 2 章 ClusterRoleBinding [authorization.openshift.io/v1]

2.1. 规格

2.2. API 端点

2.2.1. /apis/authorization.openshift.io/v1/clusterrolebindings

2.2.2. /apis/authorization.openshift.io/v1/clusterrolebindings/{name}

第 3 章 ClusterRole [authorization.openshift.io/v1]

3.1. 规格

3.1.1. .rules

3.1.2. .rules[]

3.2. API 端点

3.2.1. /apis/authorization.openshift.io/v1/clusterroles

3.2.2. /apis/authorization.openshift.io/v1/clusterroles/{name}

第 4 章 RoleBindingRestriction [authorization.openshift.io/v1]

4.1. 规格

4.1.1. .spec

4.2. API 端点

4.2.1. /apis/authorization.openshift.io/v1/rolebindingrestrictions

4.2.2. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindingrestrictions

4.2.3. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindingrestrictions/{name}

第 5 章 RoleBinding [authorization.openshift.io/v1]

5.1. 规格

5.2. API 端点

5.2.1. /apis/authorization.openshift.io/v1/rolebindings

5.2.2. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindings

5.2.3. /apis/authorization.openshift.io/v1/namespaces/{namespace}/rolebindings/{name}

第 6 章 Role [authorization.openshift.io/v1]

6.1. 规格

6.1.1. .rules

6.1.2. .rules[]

6.2. API 端点

6.2.1. /apis/authorization.openshift.io/v1/roles

6.2.2. /apis/authorization.openshift.io/v1/namespaces/{namespace}/roles

6.2.3. /apis/authorization.openshift.io/v1/namespaces/{namespace}/roles/{name}

Legal Notice

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Red Hat legal and privacy links

Red Hat legal and privacy links

第 1 章角色 API