Argo UI 和 RBAC - 在命名空间安装中按组显示工作流

【问题标题】：Argo UI and RBAC - Workflow visibility by group in Namespaced installArgo UI 和 RBAC - 在命名空间安装中按组显示工作流
【发布时间】：2020-12-08 10:59:35
【问题描述】：

我刚刚阅读了很多关于 Argo Workflow 和 RBAC 的帖子，但找不到我们问题的答案。

Argo 工作流程版本：v2.12.0-rc3

我们使用“命名空间”版本，无法在我们的基础架构中增加命名空间...

使用 Keycloak by Groups 进行用户身份验证> OK
每个组都与一个 Kubernetes“ServiceAccount”相关联

在 Argo UI 中，是否可以让某些组仅在“命名空间”环境中看到某些工作流？

【问题讨论】：

标签： argo-workflows

【解决方案1】：

SSO+RBAC 是一种接受 OIDC 声明并选择要使用的服务帐户的机制。

你可以而且应该把它分成两个问题：

了解如何设置具有角色和角色绑定的服务帐户以获得正确的权限。
弄清楚如何在该服务帐户上设置 SSO+RBAC 注释，以便为正确的用户选择它。

【讨论】：

您好，感谢您的回复。我看到了角色和服务帐户系统的工作原理，以及注释中的组关联。 “Kubernetes”角色仅允许您过滤对象类型，无法过滤特定注释或特定 pod 名称。最重要的问题是，我们是否必须在“多命名空间”模式下部署 argo 才能管理用户可访问的工作流（每个类型/用户组一个命名空间）？在单命名空间模式下似乎不可能，是吗？