Kubernetes RBAC: практика и разбор | Role, RoleBinding, ClusterRole и ClusterRoleBinding

Должен ли каждый разработчик иметь полный доступ к вашему кластеру Kubernetes? Конечно, нет. 🔒 В этом видео мы изучим Kubernetes RBAC (управление доступом на основе ролей) с нуля. Сначала мы рассмотрим 4 ключевых термина: Role, RoleBinding, ClusterRole и ClusterRoleBinding, а также разницу между областью видимости пространства имен и областью видимости кластера. Затем мы создадим полную практическую демонстрацию на Minikube, где учетной записи ServiceAccount разрешено просматривать поды, но НЕ удалять их или читать секреты. Мы построчно напишем YAML-код для ServiceAccount, Pod, Role и RoleBinding, найдем нужную apiVersion с помощью kubectl api-resources, исправим ошибки RoleBinding и протестируем каждое разрешение с помощью kubectl auth can-i. 🚀 ЧТО ВЫ УЗНАЕТЕ • Что такое роль и почему она ограничена пространством имен • Как RoleBinding предоставляет роль пользователю, группе или учетной записи службы • Роль против ClusterRole, RoleBinding против ClusterRoleBinding • Настройка профиля и пространства имен Minikube для RBAC • Написание YAML-кода для учетной записи службы, пода, роли и RoleBinding • Правила ролей: apiGroups, ресурсы, глаголы • субъекты и roleRef • Поиск apiVersion с помощью kubectl api-resources • Проверка разрешений с помощью kubectl auth can-i • Принцип наименьших привилегий ⏱️ РАЗДЕЛЫ 0:00 Введение: 4 ключевых термина RBAC 0:22 Документация и YAML на GitHub 0:43 Что такое роль? 2:11 Пример роли: просмотр Pods, но не удаление Pods и чтение Secrets 2:40 Что такое RoleBinding? 3:18 RoleBinding имеет область видимости пространства имен 3:45 ClusterRole и ClusterRoleBinding 4:36 Область видимости пространства имен против области видимости кластера 4:52 Сравнительная таблица: объекты, глаголы и область видимости 6:21 Практическое задание: создание нового профиля Minikube (rbac-demo) 7:49 Переключение контекста kubectl 8:27 Проверка узла кластера 8:42 Что такое пространство имен? 9:18 Создание пространства имен rbac-demo 10:15 4 ресурса, которые мы создадим 11:22 Ресурс 1: ServiceAccount (pod-reader) 12:21 Определение apiVersion с помощью kubectl api-resources 15:01 Ресурс 2: Pod (demo-pod) 18:29 Проверка Pod в пространстве имен rbac-demo 19:12 Ресурс 3: Role (pod-reader-role) 21:33 Правила ролей: apiGroups, resources, verbs 23:50 Построчное объяснение YAML-кода роли 25:58 Ресурс 4: RoleBinding (pod-reader-binding) 27:12 subjects: подключение ServiceAccount 28:53 roleRef: подключение роли 30:11 Исправление ошибок применения RoleBinding 33:18 Построчное объяснение YAML-файла RoleBinding 34:18 Суть RBAC: ServiceAccount → RoleBinding → Role 34:37 ​​Проверка разрешений с помощью kubectl auth can-i 37:24 Тест 1: список Pods → да 38:14 Тест 2: удаление Pods → нет 38:37 Тест 3: получение секретов → нет 39:08 Тест 4: список Pods в пространстве имен по умолчанию → нет 40:08 Резюме 40:52 3 вещи, которые нужно помнить 41:09 Краткий обзор и следующее видео: ServiceAccounts 📂 ЗАМЕТКИ И YAML-ФАЙЛЫ (GitHub) https://github.com/theshubhamgour/kub... ☸️ ПОЛНЫЙ ПЛЕЙЛИСТ ПО KUBERNETES (изучение с нуля, по порядку)    • Kubernetes Tutorial for Beginners | Comple...   ⏮️ Предыдущее видео: Учебник по Kubernetes VPA: Практическое руководство по вертикальному автомасштабированию подов    • Kubernetes VPA Tutorial: Vertical Pod Auto...   🔒 В следующем видео мы углубимся в ServiceAccounts и то, как поды используют идентификаторы для взаимодействия с API Kubernetes. Подпишитесь, чтобы не пропустить, и задавайте свои вопросы по RBAC в комментариях! ━━━━━━━━━━━━━━━━━━━━━━━━ 💜 Поддержите Decode The Desk Если мои подкасты, видео по DevOps и технический контент помогли вам учиться или оставаться мотивированными, вы можете поддержать канал здесь: https://razorpay.me/@decodethedeskbys... 🔥 Присоединяйтесь к этому каналу, чтобы получить доступ к бонусам:    / @shubhamgourtech   📺 Больше плейлистов по DevOps и облачным технологиям 🎥 Docker:    • Docker Mastery: Beginner to Advanced with ...   🎥 Trivy:    • Trivy Security Scanner Complete Course | D...   🎥 Jenkins:    • Learn Jenkins Step by Step   🌐 Свяжитесь со мной LinkedIn:   / theshubhamgour   Instagram:   / theshubhamgour   Twitter/X:   / theshubhamgour   #Kubernetes #RBAC #KubernetesSecurity #DevOps #kubectl