OpenShiftの既定のアクセス許可を制限する方法

Question

私たちの目標はhttps://docs.openshift.com/container-platform/3.6/admin_solutions/user_role_mgmt.html#leveraging-default-groupsに記載されているように、 "既定のアクセス許可"を変更することです。 グループsystem:authenticated , system:authenticated:oauth, system:unauthenticated は、APIにアクセスできません。 1つのユースケースがあります：管理者グループに属していないLDAPユーザは、Webコンソールにログインできません。これもテスト方法です。そのような

oadm policy remove-cluster-role-from-user basic-user system:authenticated 
oadm policy remove-cluster-role-from-user system:basic-user system:authenticated 

として

コマンド

エラーなしリターン。しかし、何の効果も見られませんでした。 oc get clusterrolebindingsとoc get rolebindingsの出力は同じままであり、テストユーザーは引き続きログオンできます。

私たちは間違ったコマンドを試していますか？あるいは、さらなる行動が必要なのでしょうか？

Answer 1

これが働いた：

oadm policy remove-cluster-role-from-group basic-user system:authenticated 

をのでsystem:authenticatedがグループではなく、ユーザーです。それは間違った命令だった。 Red Hatサポートに感謝します。

けれども - クラスタは、上記のコマンドを実行した後に動作しませんでした、と

oadm policy remove-cluster-role-from-group basic-user system:unauthenticated 

は、我々はそれを元に戻す必要がありました。私はそれが大混乱を引き起こしたのは第二の命令だけだったのだろうかと思います。しかし、ほぼ1週間のダウンタイムの後で、残りのチームは、システムから基本ユーザーを取り消すだけで何が起こるかをテストすることに熱心ではありません。