Kubernetes ABACモードが動作しない

Question

これに対処しようとした人が少し見つかりました。hereとhereですが、私にとっては解決しません。

問題： ABACポリシーを使用して、クラスタ用の読み取り専用ユーザーを作成したいとします。 私のクラスタには、AWSでホストされている3つのマスターと3つのワーカー、バージョン1.4.7があります。

• を - ： - （..もちろんのファイルの一番下に、私は、関連するパスなどを搭載し追加これらの3行が）

  私はので、すべての3つのマスターにように私のマニフェスト/ apiserver.ymlを編集しましたトークンAUTH-ファイル=の/ etc/kubernetes /ポリシー/ユーザtokens.csv

• --authorizationモード= ABAC
• --authorizationポリシーファイル=の/ etc/kubernetes /ポリシー/ apiusers.yml

私のapiuser.ymlは次のようになります。

{"apiVersion": "abac.authorization.kubernetes.io/v1beta1", "kind": "Policy", "spec": {"group": "system:authenticated", "readonly": true, "nonResourcePath": "*", "namespace": "*", "resource": "*", "apiGroup": "*"}} 

マイユーザー-token.csvは次のようになります。

tdU0ynyO3wG6UAzwWP0DO7wvF2tH8pbH,bob,bob 

マイkubeconfigファイルはそれでこれを持っている：

users: 
- name: bob 
    user: 
    token: tdU0ynyO3wG6UAzwWP0DO7wvF2tH8pbH 

私はそれが失敗だkubectl get nodesを試してみてください、私は印刷することができます出力が--v = 8の場合、関連性がありますが基本的にはForbidden(403)と表示されます。 私はここに何か根本的な欠けているように見えます。ポリシーは正当なものであり、すべてのユーザーとすべてのユーザーをブロックしていますが、認証されたユーザーは読み取り専用のアクセス権を許可する必要があります。

どのようなヘルプや提案があれば幸いです。

Answer 1

system:authenticatedグループは1.5

前1.5で追加されました、私はちょうどそれは私が行方不明になったものです。..素晴らしいあなたの他の記事を読んでいた"user":"*"