Kubernetes RBAC cluster-admin 没有秘密读取权限答案

【问题标题】：Kubernetes RBAC cluster-admin without secret reading permissionKubernetes RBAC cluster-admin 没有秘密读取权限
【发布时间】：2019-04-02 19:54:16
【问题描述】：

是否可以创建一个不具备读取命名空间机密的 Kubernetes 集群管理员？

我知道您可以创建一个 ClusterRole 并列出每个资源并省略秘密，但这似乎不直观。

您可以使用 Aggregated ClusterRoles 删除权限吗？因此使用 ClusterRole cluster-admin 并具有使用以下角色的角色：

rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: [""]

【问题讨论】：

您可以创建一个自定义角色，该角色无权读取机密，但如果无权访问某些内容，则管理员不是管理员。

标签： kubernetes rbac

【解决方案1】：

Aggregated Cluster Roles 不是真正的 set union 几个 ClusterRoles。要获得您想要的行为，您需要一个集群管理员角色的set subtraction 减去您定义的规则。 It's not supported in K8s as of this writing.

【讨论】：