红帽全球峰会第 1 章 安全性
管理 Red Hat Advanced Cluster Management for Kubernetes 的安全性和基于角色的访问控制 (RBAC)。使用定义的策略和流程监管集群，以识别并最大程度降低风险。使用策略来定义规则和设置控制。
先决条件 ：您必须配置 Red Hat Advanced Cluster Management for Kubernetes 的身份验证服务要求，以便将工作负载加载到 Identity and Access Management（IAM）。如需更多信息，请参阅 OpenShift Container Platform 文档 中的了解身份验证。
查看以下主题以了解有关保护集群的更多信息：
1.1. 基于角色的访问控制
Red Hat Advanced Cluster Management for Kubernetes 支持的基于角色的控制访问（RBAC）。您的角色决定了您可以执行的操作。RBAC 基于 Kubernetes 中的授权机制，类似于 Red Hat OpenShift Container Platform。有关 RBAC 的更多信息，请参阅 OpenShift Container Platform 文档中的 RBAC 概述。
注:如果用户角色无法访问，则控制台中禁用操作按钮。
如需组件支持的 RBAC 的详细信息，参阅以下小节。
1.1.1. 角色概述
有些产品资源是基于集群范围的，有些则是命名空间范围。您必须将集群 rolebindings 和命名空间 rolebindings 应用到用户，以使访问控制具有一致性。查看 Red Hat Advanced Cluster Management for Kubernetes 支持的以下角色定义表列表：
| 角色 | 定义 |
|---|---|
| cluster-admin |
具有集群范围内的绑定到 |
| open-cluster-management:cluster-manager-admin |
具有集群范围绑定到 |
| open-cluster-management:managed-cluster-x (admin) |
具有集群范围绑定到 |
| open-cluster-management:managed-cluster-x (viewer) |
具有集群范围绑定到 |
| open-cluster-management:subscription-admin |
具有 |
| admin, edit, view |
admin、edit 和 view 是 OpenShift Container Platform 的默认角色。具有命名空间范围绑定的用户可以访问特定命名空间中的 |
重要：
- 任何用户都可以从 OpenShift Container Platform 创建项目，这为命名空间授予管理员角色权限。
-
如果用户无法访问集群的角色，则无法看到集群名称。集群名称显示有以下符号：
-。
1.1.2. RBAC 的实施
RBAC 在控制台和 API 一级进行验证。控制台中的操作可根据用户访问角色权限启用或禁用。查看以下章节以了解有关该产品中特定生命周期的 RBAC 的更多信息。
1.1.2.1. 集群生命周期 RBAC
查看以下集群生命周期 RBAC 操作。
创建和管理所有受管集群：
输入以下命令，创建到集群角色
open-cluster-management:cluster-manager-admin的集群角色绑定：oc create clusterrolebinding <role-binding-name> --clusterrole=open-cluster-management:cluster-manager-admin
oc create clusterrolebinding <role-binding-name> --clusterrole=open-cluster-management:cluster-manager-adminCopy to Clipboard Copied! Toggle word wrap Toggle overflow 这个角色是一个超级用户，可访问所有资源和操作。此角色允许您创建集群范围的
managedcluster资源、用于管理受管集群的资源的命名空间，以及命名空间中的资源。此角色还支持访问供应商连接以及用于创建受管集群的裸机资产。
管理名为 cluster-name 的受管集群：
输入以下命令，创建到集群角色
open-cluster-management:admin:<cluster-name>的集群角色绑定：oc create clusterrolebinding (role-binding-name) --clusterrole=open-cluster-management:admin:<cluster-name>
oc create clusterrolebinding (role-binding-name) --clusterrole=open-cluster-management:admin:<cluster-name>Copy to Clipboard Copied! Toggle word wrap Toggle overflow 此角色允许对集群范围的
managedcluster资源进行读写访问。这是必要的，因为managedcluster是一个集群范围的资源，而不是命名空间范围的资源。输入以下命令，创建到集群角色
admin的命名空间角色绑定：oc create rolebinding <role-binding-name> -n <cluster-name> --clusterrole=admin
oc create rolebinding <role-binding-name> -n <cluster-name> --clusterrole=adminCopy to Clipboard Copied! Toggle word wrap Toggle overflow 此角色允许对受管集群命名空间中的资源进行读写访问。
查看名为 cluster-name 的受管集群：
输入以下命令，创建到集群角色
open-cluster-management:view:<cluster-name>的集群角色绑定：oc create clusterrolebinding <role-binding-name> --clusterrole=open-cluster-management:view:<cluster-name>
oc create clusterrolebinding <role-binding-name> --clusterrole=open-cluster-management:view:<cluster-name>Copy to Clipboard Copied! Toggle word wrap Toggle overflow 此角色允许对集群范围的
managedcluster资源的读取访问权限。这是必要的，因为managedcluster是一个集群范围的资源，而不是命名空间范围的资源。输入以下命令，创建到集群角色
view的命名空间角色绑定：oc create rolebinding <role-binding-name> -n <cluster-name> --clusterrole=view
oc create rolebinding <role-binding-name> -n <cluster-name> --clusterrole=viewCopy to Clipboard Copied! Toggle word wrap Toggle overflow 此角色允许只读访问受管集群命名空间中的资源。
请参阅 ManagedClusterSets 以了解有关管理 ManagedClusterSet 资源的信息。
查看以下集群生命周期控制台和 API RBAC 表：
| 操作 | Admin | Edit | View |
|---|---|---|---|
| Clusters | read、update、delete | 读取、更新 | 读取 |
| AWS 供应商连接。 | create、read、update 和 delete | create、read、update 和 delete | 读取 |
| 裸机资产 | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| API | Admin | Edit | View |
|---|---|---|---|
| manageclusters.cluster.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| baremetalassets.inventory.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| klusterletaddonconfigs.agent.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| managedclusteractions.action.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| managedclusterviews.view.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| managedclusterinfos.internal.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| manifestworks.work.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
1.1.2.2. 应用程序生命周期 RBAC
在创建一个应用程序时，subscription 命名空间会被创建，配置映射会在 subscription 命名空间中创建。如果需要应用订阅，则必须是订阅管理员。有关管理应用程序的更多信息，请参阅创建和管理订阅。
要执行应用程序生命周期任务，具有 admin 角色的用户必须有权访问创建的应用程序所在的命名空间，以及 managedcluster 命名空间。例如，在命名空间 "N" 中创建应用程序所需的访问权限是命名空间范围的绑定到命名空间 "N" 的 admin 角色。
查看以下应用程序生命周期控制台和 API RBAC 表：
| 操作 | Admin | Edit | View |
|---|---|---|---|
| Application | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| Channel | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| Subscription | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| 放置规则（Placement rule） | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| API | Admin | Edit | View |
|---|---|---|---|
| applications.app.k8s.io | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| channels.apps.open-cluster-management.io | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| deployables.apps.open-cluster-management.io | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| helmreleases.apps.open-cluster-management.io | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| placementrules.apps.open-cluster-management.io | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| subscriptions.apps.open-cluster-management.io | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| configmaps | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| secrets | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
| 命名空间 | 创建、读取、更新、删除 | 创建、读取、更新、删除 | 读取 |
1.1.2.3. 监管生命周期 RBAC
要执行监管生命周期操作，用户必须有权访问创建策略的命名空间，以及访问应用策略的 managedcluster 命名空间。
请参见以下示例：
要查看命名空间 "N" 中的策略，需要以下角色：
-
命名空间范围的绑定到命名空间 "N" 的
view角色。
-
命名空间范围的绑定到命名空间 "N" 的
要在命名空间 "N" 中创建策略，并将其应用到
managedcluster"X"，需要以下角色：-
命名空间范围的绑定到命名空间 "N" 的
admin角色。 -
命名空间范围的绑定到命名空间 "X" 的
admin角色。
-
命名空间范围的绑定到命名空间 "N" 的
查看以下监管生命周期控制台和 API RBAC 表：
| 操作 | Admin | Edit | View |
|---|---|---|---|
| 策略（policy） | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| PlacementBindings | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| PlacementRules | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| API | Admin | Edit | View |
|---|---|---|---|
| policies.policy.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
| placementbindings.policy.open-cluster-management.io | 创建、读取、更新、删除 | 读取、更新 | 读取 |
1.1.2.4. Observability RBAC
要使用可观察功能，您必须分配 cluster-admin 或 open-cluster-management:cluster-manager-admin 角色。查看以下可观察功能列表：
- 访问受管集群指标。
- 搜索资源。
- 如果您有权限可以访问受管集群，请使用 Visual Web Terminal。
创建、更新和删除 MultiClusterObservability 自定义资源。查看以下 RBAC 表：
| API | Admin | Edit | View |
| multiclusterobservabilities.observability.open-cluster-management.io | create、read、update 和 delete | - | - |
如需了解更多与集群安全相关的信息，请参阅安全部分。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}