第 1 章 Access control

角色

定义

cluster-admin

这是 OpenShift Container Platform 的默认角色。具有集群范围内的绑定到 cluster-admin 角色的用户，是一个 OpenShift Container Platform 超级用户，其具有所有访问权限。

open-cluster-management:cluster-manager-admin

具有集群范围内的绑定到 open-cluster-management:cluster-manager-admin 角色的用户，是一个 Red Hat Advanced Cluster Management for Kubernetes 超级用户，其具有所有访问权限。此角色允许用户创建 ManagedCluster 资源。

open-cluster-management:admin:<managed_cluster_name>

具有集群范围内的绑定到 open-cluster-management:admin:<managed_cluster_name> 角色的用户，具有对名为 <managed_cluster_name> 的 ManagedCluster 资源的管理员访问权限。当用户具有受管集群时，会自动创建此角色。

open-cluster-management:view:<managed_cluster_name>

具有集群范围内的绑定到 open-cluster-management:view:<managed_cluster_name> 角色的用户，可以访问名为 <managed_cluster_name> 的 ManagedCluster 资源。

open-cluster-management:managedclusterset:admin:<managed_clusterset_name>

具有集群范围内的绑定到 open-cluster-management:managedclusterset:admin:<managed_clusterset_name> 角色的用户，具有对名为 <managed_clusterset_name> 的 ManagedCluster 资源的管理员访问权限。用户还有对 managedcluster.cluster.open-cluster-management.io、clusterclaim.hive.openshift.io、clusterdeployment.hive.openshift.io 和 clusterpool.hive.openshift.io 资源的管理员访问权限，这些资源具有受管集群集标签：cluster.open-cluster-management.io/clusterset=<managed_clusterset_name>。使用集群集时会自动生成角色绑定。请参阅创建 ManagedClusterSet 以了解如何管理该资源。

open-cluster-management:managedclusterset:view:<managed_clusterset_name>

具有集群范围内的绑定到 open-cluster-management:managedclusterset:view:<managed_clusterset_name> 角色的用户，可以访问名为 <managed_clusterset_name>' 的 ManagedCluster 资源。用户还有对 managedcluster.cluster.open-cluster-management.io、clusterclaim.hive.openshift.io、clusterdeployment.hive.openshift.io 和 clusterpool.hive.openshift.io 资源的查看访问权限，这些资源具有受管集群集标签： cluster.open-cluster-management.io,clusterset=<managed_clusterset_name>。有关如何管理受管集群设置资源的详情，请参阅创建 ManagedClusterSet。

open-cluster-management:subscription-admin

具有 open-cluster-management:subscription-admin 角色的用户，可以创建 Git 订阅将资源部署到多个命名空间中。资源在订阅的 Git 仓库中的 Kubernetes 资源 YAML 文件中指定。备注：当一个非 subscription-admin 用户创建订阅时，无论资源中的指定命名空间是什么，所有资源都会部署到订阅命名空间中。如需更多信息，请参阅应用程序生命周期 RBAC 部分。

admin, edit, view

admin、edit 和 view 是 OpenShift Container Platform 的默认角色。具有命名空间范围绑定的用户可以访问特定命名空间中的 open-cluster-management 资源，而集群范围的绑定到同一角色可以访问整个集群范围的 open-cluster-management 资源。

open-cluster-management:managedclusterset:bind:<managed_clusterset_name>

带有 open-cluster-management:managedclusterset:bind:<managed_clusterset_name> 角色的用户具有可以查看被称为 <managed_clusterset_name> 的受管集群资源的权限。用户可以将 <managed_clusterset_name> 绑定到一个命名空间。用户还有对 managedcluster.cluster.open-cluster-management.io、clusterclaim.hive.openshift.io、clusterdeployment.hive.openshift.io 和 clusterpool.hive.openshift.io 资源的查看访问权限，这些资源具有以下受管集群集标签：cluster.open-cluster-management.io/clusterset=<managed_clusterset_name>。请参阅创建 ManagedClusterSet 以了解如何管理该资源。