【发布时间】：2019-12-15 08:13:47
【问题描述】：
opa（开放策略）可以在创建、删除或更新 Kubernetes 资源之前引用其策略。但在获取（描述或获取）时不能。如何强制执行此操作以获取请求？这是 OPA 的路线图还是准入控制器的范围？
我们希望阻止查看服务帐户令牌。
【问题讨论】：
标签： kubernetes open-policy-agent
【发布时间】：2019-12-15 08:13:47
【问题描述】：
Kubernetes 中的准入控制不允许您控制 get。它只允许您控制create、update、delete 和connect。 validating webhook 及其后代 RuleWithOperations（没有方便的链接）的 API 文档没有说明这一点，但 docs introducing API access 明确说明了这一点。
要控制get，你需要使用authorization。要使用 OPA 进行授权，您需要 authorization webhook mode。
【讨论】：