4.7. 配置查询 RBAC

流程

1. 在 TempoStack 自定义资源(CR) 中启用多租户和查询 RBAC，例如：

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: simplest
     namespace: chainsaw-multitenancy
   spec:
     storage:
       secret:
         name: minio
         type: s3
     storageSize: 1Gi
     resources:
       total:
         limits:
           memory: 2Gi
           cpu: 2000m
     tenants:
       mode: openshift
       authentication:
         - tenantName: dev
           tenantId: "1610b0c3-c509-4592-a256-a1871353dbfb"
     template:
       gateway:
         enabled: true 

   1

   
         rbac:
           enabled: true 

   2

   
       queryFrontend:
         jaegerQuery:
           enabled: false 

   3

   1

   始终设置为 true。

   2

   始终设置为 true。

   3

   始终设置为 false。

2. 创建集群角色和集群角色绑定，为目标用户授予访问您在 TempoStack CR 中指定的租户的权限，例如：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: tempo-dev-read
   rules:
   - apiGroups: [tempo.grafana.com]
     resources: [dev] 

   1

   
     resourceNames: [traces]
     verbs: [get]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: tempo-dev-read
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: tempo-dev-read
   subjects:
     - kind: Group
       apiGroup: rbac.authorization.k8s.io
       name: system:authenticated 

   2

   1

   TempoStack CR 中的租户名称。

   2

   表示所有通过身份验证的 OpenShift 用户。

3. 为目标用户授予项目读取属性的权限。您可以运行以下命令来完成此操作：

   $ oc adm policy add-role-to-user view <username> -n <project>