生产环境，有时候开发需要权限去看k8s某个namespace下的pod的运行状态，或者其它的运行信息(ELK或其它组件并不能完全覆盖这种场景，或者特地引入kubesphere这套组件也太重了），这种情况我们要如何高效解决？
我们这种情况下，可以结合jumpserver的账号来做。具体点就是：
1、在k8s上namespace创建不同的rbac(只开放出list watch这类的只读权限)，并把配置文件捞出来
2、在jumpserver上单独开一个ecs，安装kubectl，并创建多个账号，对应k8s的不同namespace
3、在ecs上，切到不同的账号下，将step1的配置文件写到到对应的kubectl的配置里
4、研发可以自助在jumpserver上申请权限（申请主机权限--->申请某个用户权限），这样既可达成我们的目标。
jumpserver的配置比较简单，这里就跳过了。
主要是k8s上的只读账号的rbac的yaml文件贴一下。
3个yaml的内容如下：
readonly的账号配置文件具体如下： # cat 1-readonly.serviceaccount-ns1.yaml apiVersion: v1 kind: ServiceAccount metadata: creationTimestamp: null name: readonly namespace: ns1 # cat 2-readonly.clusterrole-ns1.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: annotations: name: cluster-readonly rules: - apiGroups: - '*' resources: - pods - pods/log - events - deployments - replicasets verbs: - get - watch - describe - logs - list # cat 3-readonly.rolebinding-ns1.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: readonly@ns1 namespace: ns1 roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: cluster-readonly subjects: - kind: ServiceAccount name: readonly namespace: ns1
此外，我们还可以把这台kubectl的机器的堡垒机日志展示到grafana上，如下图：
对应的sql如下：
select user as 用户名, system_user as 系统账号, input as 输入命令, output as 返回结果, DATE_ADD(from_unixtime(timestamp), INTERVAL -8 hour) as 执行时间 from terminal_command where asset LIKE '%kubectl%' order by timestamp desc limit 500
