问题描述
在Kubernetes中尝试使用RBAC实现基于组的认证。他的需求如下：
– 存在一个名为”readonly”的Linux组。
– 在该组中有3个用户：reader1、reader2和reader3。
– 他想要如何实现RBAC，以便将所有属于该组的用户以及未来加入该组的用户赋予只读访问权限。只读访问权限包括使用kubectl列出、获取和观察资源的权限。
– 他在集群角色绑定中遇到了.subjects[0].kind: Group，但不确定如何使用，或者是否可以在上述场景中使用它。
解决方案
请注意以下操作可能涉及版本差异及风险。在实际操作前请先进行适当的测试和备份。
要在Kubernetes中实现基于组的认证，你可以使用RBAC（Role-Based Access Control）来定义角色和角色绑定，然后将用户组分配给这些角色。
步骤1：创建ClusterRole
首先，你可以创建一个ClusterRole，定义该角色具有的资源和操作权限。在这个示例中，我们创建一个名为readonly_role的ClusterRole，允许用户具有获取、列出和观察Pods以及Pod日志的权限。
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
name: readonly_role
rules:
- apiGroups: [""]
resources: ["pods", "pods/logs"]
verbs: ["get", "list", "watch"]
步骤2：创建ClusterRoleBinding
然后，你可以创建一个ClusterRoleBinding，将用户组绑定到先前创建的ClusterRole上。在这个示例中，我们将组myorg:readonly绑定到readonly_role上，这将赋予该组用户只读访问Pod资源的权限。
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
name: bind_readonly_role
subjects:
- kind: Group
name: myorg:readonly
roleRef:
kind: ClusterRole
name: readonly_role
apiGroup: rbac.authorization.k8s.io
步骤3：验证权限
完成上述步骤后，组myorg:readonly的用户将具有获取、列出和观察Pods以及Pod日志的权限。你可以使用以下命令测试用户是否具有这些权限：
kubectl auth can-i get pods --as myorg:readonly
请注意，此处的myorg:readonly是示例中使用的组名，你需要将其替换为实际的组名。
总结
通过创建ClusterRole和ClusterRoleBinding，你可以在Kubernetes中实现基于组的认证。这允许你为特定组的用户分配特定的访问权限，从而实现更细粒度的访问控制。
希望这篇文章能够帮助你在Kubernetes中成功实现基于组的认证！如果你需要更多关于RBAC的信息，可以参考Kubernetes官方文档：RBAC文档。