第 3 章 RBAC 映射配置

流程

1. 在 ConfigMap 对象中定义自定义权限映射。

   包含权限映射的 ConfigMap 示例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: auth-properties
   data:
     auth.properties: |
       TARGET=pods,deployments.apps
       RECORDING=pods,pods/exec
       CERTIFICATE=deployments.apps,pods,cryostats.operator.cryostat.io
       CREDENTIALS=cryostats.operator.cryostat.io

   要使用自定义权限映射，ClusterRole 必须存在，并包含自定义权限映射中列出的所有 OpenShift 对象的权限。

   包含必要规则的 ClusterRole 示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: additional-oauth-client
   rules:
   - apiGroups:
     - operator.cryostat.io
     resources:
     - cryostats
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - ""
     resources:
     - pods
     - pods/exec
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - apps
     resources:
     - deployments
     verbs:
     - create
     - patch
     - delete
     - get

   在 OpenShift Web 控制台中输入凭据后，OAuth 服务器将使用您的凭据和指定范围来生成 API 令牌。

2. 在 Cryostat 自定义资源(CR)中提供 authProperties spec，以引用包含映射内容的 ConfigMap 和 ClusterRole，为映射的 OpenShift 资源定义 RBAC 访问权限。

   带有定义自定义权限映射的 authProperties 的 Cryostat CR 示例

   apiVersion: operator.cryostat.io/v1beta1
   kind: Cryostat
   metadata:
     name: cryostat-sample
   spec:
     authProperties:
   	configMapName: auth-properties
   	filename: auth.properties
   	clusterRoleName: oauth-cluster-role

   或者，您可以打开 OpenShift Web 控制台，创建一个 Cryostat 实例，并在 Authorization Properties 选项中定义 ClusterRole Name、ConfigMap Name 和 Filename 属性，您可以在 Advanced configuration 部分中访问它们。

   图 3.1. OpenShift Web 控制台中的高级配置部分

   

验证

1. 在 Installed Operators 菜单中，选择您的 Cryostat 实例。
2. 单击 Application URL 部分中的链接，以访问登录屏幕。OAuth 服务器将您重定向到 OpenShift Container Platform 登录页面。
3. 输入您的凭证详情，然后点 Login。第一次通过 OAuth 服务器登录时，网页浏览器上打开一个 Authorize Access 页面。
4. 在 Requested Permissions 选项中，确认集群角色名称与您在 Cryostat CR 中指定的名称匹配。

5. 在 Authorize Access 窗口中，您可以选择所需的复选框。为了获得最佳 Cryostat 性能，请选中所有复选框。

   图 3.2. Authorize Access 窗口列出了三个权限

   

   Authorize Access 窗口列出以下权限：

   • user:check-access，这是检查内部 Cryostat 应用请求的权限。权限为用户提供了查看其特权的只读权限。
   • role:cryostat-operator-oauth-client:<namespace >，这是检查内部 Cryostat 应用程序请求的权限检查。通过 CLI 将 <namespace> 替换为项目名称或命名空间。权限可让用户访问完成 cryostat-operator-oauth-client 角色指定的任何操作，但访问升级资源（如 secret）除外。
   • role:<user-define-clusterrole-name>:<namespace > ：您在 Cryostat CR spec 中定义的 clusterrole。通过 CLI 将 <namespace> 替换为项目名称或命名空间。权限可让用户访问完成 additional-oauth-client 角色 指定的任何操作，除了升级对资源（如 secret）的访问外。

6. 选择以下选项之一：

   1. 如果要接受所选请求的权限，请点击 Allow selected permissions。

   2. 如果要拒绝所有请求的权限选项，请单击 Deny 按钮。

      您的 Web 浏览器将您重定向到 Cryostat Web 控制台，您可以在其中监控 Java 虚拟机(JVM)中运行的 Java 应用程序。