1.2. multicluster engine operator 基于角色的访问控制
RBAC 在控制台和 API 一级进行验证。控制台中的操作可根据用户访问角色权限启用或禁用。查看以下部分以了解有关产品中特定生命周期的 RBAC 的更多信息：
1.2.1. 角色概述
有些产品资源是基于集群范围的，有些则是命名空间范围。您必须将集群角色绑定和命名空间角色绑定应用到用户，以使访问控制具有一致性。查看支持的以下角色定义表列表：
1.2.1.1. 角色定义表
| 角色 | 定义 |
|---|---|
|
|
这是 OpenShift Container Platform 的默认角色。具有集群范围内的绑定到 |
|
|
具有集群范围内的绑定到 |
|
|
具有集群范围内的绑定到 |
|
|
具有集群范围内的绑定到 |
|
|
具有集群范围内的绑定到 |
|
|
具有集群范围内的绑定到 |
|
|
admin、edit 和 view 是 OpenShift Container Platform 的默认角色。具有命名空间范围绑定的用户可以访问特定命名空间中的 |
重要：
- 任何用户都可以从 OpenShift Container Platform 创建项目，这为命名空间授予管理员角色权限。
-
如果用户无法访问集群的角色，则无法看到集群名称。集群名称显示有以下符号：
-。
RBAC 在控制台和 API 一级进行验证。控制台中的操作可根据用户访问角色权限启用或禁用。查看以下部分以了解有关产品中特定生命周期的 RBAC 的更多信息。
1.2.2. 集群生命周期 RBAC
查看以下集群生命周期 RBAC 操作：
为所有受管集群创建和管理集群角色绑定。例如，输入以下命令创建到集群角色
open-cluster-management:cluster-manager-admin的集群角色绑定：oc create clusterrolebinding <role-binding-name> --clusterrole=open-cluster-management:cluster-manager-admin --user=<username>
这个角色是一个超级用户，可访问所有资源和操作。您可以创建集群范围的
managedcluster资源、用于管理受管集群的资源的命名空间，以及使用此角色的命名空间中的资源。您可能需要添加需要角色关联的 ID用户名，以避免权限错误。运行以下命令，为名为
cluster-name的受管集群管理集群角色绑定：oc create clusterrolebinding (role-binding-name) --clusterrole=open-cluster-management:admin:<cluster-name> --user=<username>
此角色对集群范围的
managedcluster资源具有读写访问权限。这是必要的，因为managedcluster是一个集群范围的资源，而不是命名空间范围的资源。输入以下命令，创建到集群角色
admin的命名空间角色绑定：oc create rolebinding <role-binding-name> -n <cluster-name> --clusterrole=admin --user=<username>
此角色对受管集群命名空间中的资源具有读写访问权限。
为
open-cluster-management:view:<cluster-name>集群角色创建一个集群角色绑定，以查看名为cluster-name的受管集群，输入以下命令：oc create clusterrolebinding <role-binding-name> --clusterrole=open-cluster-management:view:<cluster-name> --user=<username>
此角色具有对集群范围的
managedcluster资源的读取访问权限。这是必要的，因为managedcluster是一个集群范围的资源。输入以下命令，创建到集群角色
view的命名空间角色绑定：oc create rolebinding <role-binding-name> -n <cluster-name> --clusterrole=view --user=<username>
此角色对受管集群命名空间中的资源具有只读访问权限。
输入以下命令来查看您可以访问的受管集群列表：
oc get managedclusters.clusterview.open-cluster-management.io
此命令供没有集群管理员特权的管理员和用户使用。
输入以下命令来查看您可以访问的受管集群集列表：
oc get managedclustersets.clusterview.open-cluster-management.io
此命令供没有集群管理员特权的管理员和用户使用。
1.2.2.1. 集群池 RBAC
查看以下集群池 RBAC 操作：
作为集群管理员，通过创建受管集群集并使用集群池置备集群，并通过向组添加角色来授予管理员权限。请参见以下示例：
使用以下命令为
server-foundation-clusterset受管集群集授予admin权限：oc adm policy add-cluster-role-to-group open-cluster-management:clusterset-admin:server-foundation-clusterset server-foundation-team-admin
使用以下命令为
server-foundation-clusterset受管集群授予view权限：oc adm policy add-cluster-role-to-group open-cluster-management:clusterset-view:server-foundation-clusterset server-foundation-team-user
为集群池
server-foundation-clusterpool创建命名空间。查看以下示例以授予角色权限：运行以下命令，为
server-foundation-team-admin授予server-foundation-clusterpool的admin权限：oc adm new-project server-foundation-clusterpool oc adm policy add-role-to-group admin server-foundation-team-admin --namespace server-foundation-clusterpool
作为团队管理员，在集群池命名空间中创建一个名为
ocp46-aws-clusterpool的集群池，带有集群设置标签cluster.open-cluster-management.io/clusterset=server-foundation-clusterset：-
server-foundation-webhook检查集群池是否有集群设置标签，以及用户是否有权在集群集中创建集群池。 -
server-foundation-controller为server-foundation-team-user授予对server-foundation-clusterpool命名空间的view权限。
-
创建集群池时，集群池会创建一个
clusterdeployment。继续阅读以获取更多详细信息：-
server-foundation-controller为server-foundation-team-admin授予对clusterdeployment命名空间的admin权限。 server-foundation-controller为server-foundation-team-user授予对clusterdeployment名空间的view权限。注 ：作为
team-admin和team-user，您有clusterpool、clusterdeployment和clusterclaim的admin权限
-
1.2.2.2. 集群生命周期的控制台和 API RBAC 表
查看以下集群生命周期控制台和 API RBAC 表：
| 资源 | Admin | Edit | View |
|---|---|---|---|
| Clusters | read、update、delete | - | 读取 |
| 集群集 | get、update、bind、join | 未提及 edit 角色 | get |
| 受管集群 | read、update、delete | 未提及 edit 角色 | get |
| AWS 供应商连接。 | create、read、update 和 delete | - | 读取 |
| API | Admin | Edit | View |
|---|---|---|---|
|
对于这个 API 您可以使用 | 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
对于这个 API 您可以使用 | 读取 | 读取 | 读取 |
|
| update | update | |
|
对于这个 API 您可以使用 | 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 读取 | 读取 | 读取 |
|
对于这个 API 您可以使用 | 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 创建、读取、更新、删除 | 读取、更新 | 读取 |
|
| 创建、读取、更新、删除 | 读取、更新 | 读取 |
1.2.2.3. 基于角色的凭证访问控制
对凭证的访问由 Kubernetes 控制。凭据作为 Kubernetes secret 存储和保护。以下权限适用于在 Red Hat Advanced Cluster Management for Kubernetes 中访问 secret：
- 有权在命名空间中创建 secret 的用户可以创建凭证。
- 有权读取命名空间中的 secret 的用户也可以查看凭证。
-
具有 Kubernetes 集群角色
admin和edit的用户可以创建和编辑 secret。 -
具有 Kubernetes 集群角色
view的用户无法查看 secret，因为读取 secret 的内容可以访问服务帐户凭证。
