9.14. 控制虚拟机状态

流程

1. 创建允许目标用户或组管理虚拟机状态的 ClusterRole 对象：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: vm-manager-access
   rules:
     - apiGroups:
         - subresources.kubevirt.io
       resources:
         - virtualmachines/start
         - virtualmachines/stop
       verbs:
         - update
   # ...

2. 运行以下命令以应用集群角色：

   $ oc apply -f <filename>.yaml

3. 运行以下命令并确认集群角色已创建好，并观察其输出：

   $ oc get clusterrole <name>

   输出示例：

   NAME                AGE
   vm-manager-access   15s

4. 检查集群角色的详情，并确保存在 subresources.kubevirt.io 的预期规则，特别是 virtualmachines/start 和 virtualmachines/stop 子资源。

   运行以下命令并观察输出：

   $ oc describe clusterrole <name>

   输出示例：

   Name:         vm-manager-access
   Labels:       <none>
   Annotations:  <none>
   PolicyRule:
     Resources  Non-Resource URLs  Resource Names  Verbs
     ---------  -----------------  --------------  -----
     virtualmachines/start, virtualmachines/stop with subresources.kubevirt.io group  []  []  [update]

5. 创建 ClusterRoleBinding 对象来将您创建的集群角色绑定到目标用户或组：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: vm-manager-access-binding
   subjects:
     - kind: User
       name: test-user
       apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: vm-manager-access
     apiGroup: rbac.authorization.k8s.io

6. 运行以下命令以应用集群角色绑定：

   $ oc apply -f <filename>.yaml

7. 运行以下命令并观察输出，确认已创建了集群角色绑定：

   $ oc get clusterrolebinding <name>

   输出示例：

   NAME                        AGE
   vm-manager-access-binding   15s

验证

1. 运行以下命令，检查用户是否可以启动虚拟机：

   $ oc auth can-i update virtualmachines/start --namespace=<namespace> --as=<user_name> --subresource=subresources.kubevirt.io

   输出示例：

   yes

2. 运行以下命令，检查用户是否可以停止虚拟机：

   $ oc auth can-i update virtualmachines/stop --namespace=<namespace> --as=<user_name> --group=subresources.kubevirt.io

   输出示例：

   yes