跳至主要内容

基於角色的存取控制

注意

Rancher-Istio 將在 Rancher v2.12.0 中被棄用；請改用 SUSE Rancher Application Collection 構建的 Istio 以增強安全性（包含在 SUSE Rancher Prime 訂閱中）。

詳細資訊可以在此公告中找到。

本節描述存取 Istio 功能所需的權限。

rancher istio 圖表安裝三個 ClusterRoles

Cluster-Admin 存取權限​

預設情況下，只有具有 cluster-admin ClusterRole 的人才能：

  • 在叢集中安裝 istio 應用程式
  • 為 Istio 配置資源分配

Admin 和 Edit 存取權限​

預設情況下，只有 Admin 和 Edit 角色才能：

  • 為命名空間啟用和停用 Istio sidecar 自動注入
  • 將 Istio sidecar 新增到工作負載
  • 查看叢集的流量指標和流量圖
  • 配置 Istio 的資源（例如閘道、目的地規則或虛擬服務）

Kubernetes 預設角色的預設權限摘要​

Istio 建立三個 ClusterRoles 並將 Istio CRD 存取權限新增到以下預設 K8s ClusterRole：

圖表建立的 ClusterRole預設 K8s ClusterRoleRancher 角色
istio-adminadminProject Owner
istio-editeditProject Member
istio-viewviewRead-only

Rancher 將繼續使用 cluster-owner、cluster-member、project-owner、project-member 等作為角色名稱，但將利用預設角色來確定存取權限。對於每個預設 K8s ClusterRole，都有不同的 Istio CRD 權限和可以執行的 K8s 動作（Create（C）、Get（G）、List（L）、Watch（W）、Update（U）、Patch（P）、Delete（D）、All（*））。

CRDsAdminEditView
  • config.istio.io
    • adapters
    • attributemanifests
    • handlers
    • httpapispecbindings
    • httpapispecs
    • instances
    • quotaspecbindings
    • quotaspecs
    • rules
    • templates
GLWGLWGLW
  • networking.istio.io
    • destinationrules
    • envoyfilters
    • gateways
    • serviceentries
    • sidecars
    • virtualservices
    • workloadentries
**GLW
  • security.istio.io
    • authorizationpolicies
    • peerauthentications
    • requestauthentications
**GLW