helm 部署所需的 RBAC 权限

Question

我正在为我们的集群设置 RBAC，并且正在设置两个角色：

• 管理员
• 开发商

我对管理员很满意，他们基本上可以完全访问所有内容，但我不确定我需要为developer用户提供哪些权限才能执行部署。

我们正在使用 Helm (3) 进行部署，我希望开发人员能够重新部署应用程序（而不是初始部署），但我不确定这需要什么权限。 我不确定的是 Helm 如何管理实际部署。 例如豆荚之类的东西。 用户是否需要 pod 创建权限，或者不需要，因为 pod 通常由部署资源本身处理？

Answer 1

如果您的图表仅创建部署对象，则 pod 生命周期由部署 controller 管理。Helm3 需要稍微提升权限才能运行，因为安装元数据（版本历史等）在 Secrets 中管理，因此用户运行安装命令肯定需要完全访问 Secrets object。此外，权限策略还取决于安装将创建哪些对象。 用户将需要对将由 helm 安装管理的那些 API 对象的所有访问权限。 一个好的策略是使用 Helm Operator https://github.com/fluxcd/helm-operator来管理 helm 版本。 这样，您只需授予对 HelmRelease CR 的完全访问权限，就可以保护命名空间中的其他敏感机密和对象。