应用现状

云容器引擎的权限控制有两种：集群权限和命名空间权限，以下篇幅将介绍云容器引擎针对集群权限的ClusterRole的创建、权限绑定和验证做简单介绍。

RBAC（Role-Based Access Control） 是基于角色（Role）的访问控制。您可以通过RBAC将权限和集群角色关联，以达到为不同的角色成员配置不同的权限，从而降低账号的安全风险。RBAC的Kubernetes对象的Role或者ClusterRole中包含一组代表相关权限的规则。Role用来在某个命名空间内设置访问权限，ClusterRole则是用于为集群范围的资源定义访问权限。

权限策略说明

您可自行编写权限策略，或通过云容器引擎的控制台创建自定义策略。

ClusterRole创建

针对您要定义集群范围的角色，那么请使用ClusterRole。下面是一个创建ClusterRole的YAML示例。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: clusterRole-test
rules:
- apiGroups:
    - metrics.k8s.io
  resources:
    - pods
  verbs:
    - get
    - list
    - watch

关于ClusterRole或者Role的更多信息，请参见Role和ClusterRole。

预置角色权限说明

云容器引擎控制台创建Kubernetes自定义授权策略

注意
本步骤展示创建自定义ClusterRole，过程和创建Role类似。您可以根据实际的场景调整相应操作。

第一步：登录天翼云，进入到云容器引擎控制台，在左侧导航栏选择集群。

第二步：在集群管理界面，点击目标集群名称，然后在左侧导航栏，选择安全管理 -> 角色。

第三步：在角色页面，点击Cluster Role页签，然后点击创建Cluster Role。

第四步：当点击创建Cluster Role后，会弹出一个YAML面板，您需要在面板上输入自定义策略的YAML内容，点击确定即可创建成功。

第五步：在左侧导航栏，选择安全管理 ->授权，进入授权页面，选择子账号下面的用户，点击添加权限。

第六步：进入集群RBAC配置，点击添加权限，选择命名空间，选择自定义，然后选择里之前创建好的Cluster Role，点击下一步。

第七步：授权成功。

第八步：验证。

首先按照下图获取到对应的config，登录到集群主机保存test.config文件中。

查询集群的Pod。

kubectl get pod --kubeconfig=test.config

没有权限查看集群的Service，提示forbidden。

kubectl get services --kubeconfig=test.config

注意
当前云容器引擎授权管理仅支持自定义Cluster Role角色与集群内RABAC权限的绑定，暂不支持自定义Role角色与集群内RBAC权限的绑定。