helm 部署所需的 RBAC 權限

Question

我正在為我們的集群設置 RBAC，並且正在設置兩個角色：

• 管理員
• 開發商

我對管理員很滿意，他們基本上可以完全訪問所有內容，但我不確定我需要為developer用戶提供哪些權限才能執行部署。

我們正在使用 Helm (3) 進行部署，我希望開發人員能夠重新部署應用程序（而不是初始部署），但我不確定這需要什么權限。 我不確定的是 Helm 如何管理實際部署。 例如豆莢之類的東西。 用戶是否需要 pod 創建權限，或者不需要，因為 pod 通常由部署資源本身處理？

Answer 1

如果您的圖表僅創建部署對象，則 pod 生命周期由部署 controller 管理。Helm3 需要稍微提升權限才能運行，因為安裝元數據（版本歷史等）在 Secrets 中管理，因此用戶運行安裝命令肯定需要完全訪問 Secrets object。此外，權限策略還取決於安裝將創建哪些對象。 用戶將需要對將由 helm 安裝管理的那些 API 對象的所有訪問權限。 一個好的策略是使用 Helm Operator https://github.com/fluxcd/helm-operator來管理 helm 版本。 這樣，您只需授予對 HelmRelease CR 的完全訪問權限，就可以保護命名空間中的其他敏感機密和對象。