KubernetesのRBACでNamespace毎に専用ServiceAccountを作成

Kubernetesインストール後、Adminアカウントをみんなで共有する運用はありえないので、最低限Namespace毎に権限を絞る方法をメモ。

以下、RBACが有効になっていること前提。

GKEの場合、“Legacy Authorization”をDisabledにする必要がある。

bobyというServiceAccountがblogというNamespaceでのみ開発できるようにするケースで説明。(自分の環境向けにはbodyとblogを読みかえれば良い。)

Namespace作成。

kubectl create namespace blog

ServiceAccountを作成すると同時にこのServiceAccountにRoleBindingを作成。BindするRoleまたはClusterRoleはここでは雑にClusterRoleのeditにする。(もう少し絞りたい場合はドキュメント参照)

上記を実現するため、次のコマンドでblog-boby.ymlを作成する。

cat <<EOF > blog-boby.yml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: boby-sa
  namespace: blog
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: boby-rb
  namespace: blog
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: edit
subjects:
- kind: ServiceAccount
  name: boby-sa
EOF

設定する。

kubectl apply -f blog-boby.yml

このServiceAccount用のconfigファイルを生成するヘルパースクリプトとして、zlabjp/kubernetes-scriptsで提供されているcreate-kubeconfigを使います。

curl -LJOs https://github.com/zlabjp/kubernetes-scripts/raw/master/create-kubeconfig && chmod +x create-kubeconfig && sudo mv create-kubeconfig /usr/local/bin/

config作成。

create-kubeconfig boby-sa -n blog > config

環境変数KUBECONFIGにこのファイルパスを指定して動作確認。

$ KUBECONFIG=config kubectl get pod
No resources found.

$ KUBECONFIG=config kubectl auth can-i create pod
yes

$ KUBECONFIG=config kubectl get pod -n kube-system
Error from server (Forbidden): pods is forbidden: User "system:serviceaccount:blog:boby-sa" cannot list pods in the namespace "kube-system": Unknown user "system:serviceaccount:blog:boby-sa"

$ KUBECONFIG=config kubectl auth can-i create pod -n kube-system
no - Unknown user "system:serviceaccount:blog:boby-sa"

Unable to connect to the server: x509: certificate is valid for kubernetes, kubernetes.default, kubernetes.default.svc, kubernetes.default.svc.cluster.local, not localhost というようなエラーが出る場合は、

configファイルのcertificate-authority-data: ...の行を削除して、insecure-skip-tls-verify: trueに変える。つまり次のようにする。
# ...
clusters:
- cluster:
    insecure-skip-tls-verify: true
    server: https://your-master-ip-or-host:8443
  name: foobar
# ...

動作確認できたら、このファイルを開発者に渡し、~/.kube/configにコピーしてもらう。

cp config ~/.kube/config

複数のNamespaceにBindしたい場合は、RoleBindingを複数定義する。

ServiceAccountおよびRoleBindingを削除したい場合は、

kubectl delete -f blog-boby.yml

CFCR (Cloud Foundry Container Runtime) 0.14.0ではOpenID Connect対応が入るはずなので、リリースされたらUAAとの連携を行う。

IK.AM

KubernetesのRBACでNamespace毎に専用ServiceAccountを作成