Kubernetes即学即用（第二版）

基于角色的访问控制

｜

195

的组件会关联到服务账号。而用户账号指的是所有其他与集群的实际用户相

关联的账号，通常包括在集群外部运行的自动化服务（如连续交付服务等）。

Kubernetes

提供了一个通用接口，供身份验证提供程序使用。每个提供程序

都需要提供一个用户名，以及用户所属的组（可选）。

Kubernetes

支持许多不同的身份验证提供程序，包括：

• HTTP

基础身份验证（不推荐使用）。

• x509

客户端证书。

•

主机上的静态令牌文件。

•

云身份验证提供程序，例如

Azure Active Directory

、

AWS Identity

和

Access Management

（

IAM

）等。

•

身份验证

webhook

。

虽然大多数托管

Kubernetes

的安装都会配置好身份验证，但是如果你需要部

署自己的身份验证，则需要在

Kubernetes API

服务器上适当地配置一些标志。

14.1.2

角色和角色绑定

身份验证只是

Kubernetes

授权的第一步。在系统知道了请求的身份之后，还

需要确定该用户是否拥有执行该请求的授权。为此，系统需要使用角色和角

色绑定的概念。

角色是一组抽象能力的集合。例如，

appdev

角色代表创建

Pod

和服务的能力。

而角色绑定是指将角色分配给一个或多个身份。因此，将角色

appdev

绑定给

用户身份

alice

就表示

Alice

拥有创建

Pod

和服务的能力。