5.10. 授予 dedicated-admin 访问权限
只有创建集群的用户才能向其他 cluster-admin
或 dedicated-admin
用户授予集群访问权限。具有 dedicated-admin
访问权限的用户具有较少的特权。作为最佳实践,为大多数管理员授予 dedicated-admin
访问权限。
前提条件
- 您已在集群中添加身份提供程序(IDP)。
- 您有要创建的用户的 IDP 用户名。
- 已登陆到集群。
流程
输入以下命令将用户提升为
dedicated-admin
:rosa grant user dedicated-admin --user=<idp_user_name> --cluster=<cluster_name>
$ rosa grant user dedicated-admin --user=<idp_user_name> --cluster=<cluster_name>
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 输入以下命令验证您的用户现在是否具有
dedicated-admin
访问权限:oc get groups dedicated-admins
$ oc get groups dedicated-admins
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 输出示例
NAME USERS dedicated-admins rh-rosa-test-user
NAME USERS dedicated-admins rh-rosa-test-user
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 注意如果没有
dedicated-admin
特权的用户运行此命令,则会显示Forbidden
错误。
5.10.1. 未经身份验证的组的集群角色绑定 复制链接链接已复制到粘贴板!
在 Red Hat OpenShift Service on AWS 4.17 之前,未经身份验证的组可以访问一些集群角色。在 AWS 4.17 上的 Red Hat OpenShift Service on AWS 4.17 之前,从版本更新的集群会保留这个未经身份验证的组的访问权限。
为了安全起见,Red Hat OpenShift Service on AWS 4 不允许未经身份验证的组具有集群角色的默认访问权限。
在有些用例中,可能需要将 system:unauthenticated
添加到集群角色中。
集群管理员可以将未经身份验证的用户添加到以下集群角色中:
-
system:scope-impersonation
-
system:webhook
-
system:oauth-token-deleter
-
self-access-reviewer
在修改未经身份验证的访问时,始终验证符合您机构的安全标准。