rakkess

مراجعة الوصول - إضافة kubectl لعرض مصفوفة الوصول لموارد الخادم

مقدمة

هل تساءلت يومًا عن حقوق الوصول التي تملكها على مجموعة Kubernetes المقدمة؟ بالنسبة للموارد الفردية، يمكنك استخدام kubectl auth can-i list deployments، ولكن ربما تبحث عن نظرة عامة كاملة؟ هذا هو ما يوفره rakkess. فهو يسرد حقوق الوصول للمستخدم الحالي وجميع موارد الخادم، على غرار kubectl auth can-i --list.

كما أنه مفيد لمعرفة من يمكنه التفاعل مع مورد خادم معين. تحقق من الأمر الفرعي rakkess resource أدناه.

عرض توضيحي

أمثلة

عرض الوصول لجميع الموارد

• ... على نطاق الكتلة

  root@kitploit:~

  rakkess
  

• ... في مساحة اسم معينة

  root@kitploit:~

  rakkess --namespace default
  

• ... مع أفعال

  root@kitploit:~

  rakkess --verbs get,delete,watch,patch
  

• ... لمستخدم آخر

  root@kitploit:~

  rakkess --as other-user
  

• ... لحساب خدمة آخر

  root@kitploit:~

  rakkess --sa kube-system:namespace-controller
  

• ... والجمع مع معاملات kubectl الشائعة

  root@kitploit:~

  KUBECONFIG=otherconfig rakkess --context other-context
  

عرض الجهات التي لديها إمكانية الوصول إلى مورد معين¹

• ... عالميًا في جميع مساحات الأسماء (ينظر فقط في ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps
  

• ... في مساحة اسم معينة (ينظر في RoleBindings و ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps -n default
  

• ... بترميز مختصر

  root@kitploit:~

  rakkess r cm   # نفس rakkess resource configmaps
  

• .. بأفعال مخصصة

  root@kitploit:~

  rakkess r cm --verbs get,delete,watch,patch
  

الأدوار المقيدة بالاسم

بعض الأدوار تنطبق فقط على الموارد ذات اسم محدد. لمراجعة هذه التهيئات، قدم اسم المورد كوسيط إضافي. على سبيل المثال، عرض حقوق الوصول لـ ConfigMap المسماة ingress-controller-leader-nginx في مساحة الاسم ingress-nginx (لاحظ الفرق الدقيق لـ nginx-ingress-serviceaccount عن المثال السابق):

نظرًا لأن rakkess resource يحتاج إلى الاستعلام عن Roles و ClusterRoles وربطها، فإنه عادةً ما يتطلب وصولًا إداريًا إلى المجموعة.

انظر أيضًا الاستخدام.

التثبيت

هناك عدة طرق لتثبيت rakkess. الطريقة الموصى بها هي عبر krew.

عبر krew

Krew هو مدير إضافات لـ kubectl. إذا لم تكن قد قمت بتثبيت krew بعد، احصل عليه من https://github.com/kubernetes-sigs/krew. ثم التثبيت بسيط كالتالي

kubectl krew install access-matrix

ستكون الإضافة متاحة كـ kubectl access-matrix، راجع doc/USAGE لمزيد من التفاصيل.

الملفات الثنائية

عند استخدام الملفات الثنائية للتثبيت، ألقِ نظرة أيضًا على doc/USAGE.

Linux

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-linux.tar.gz \
  && tar xf rakkess-amd64-linux.tar.gz rakkess-amd64-linux \
  && chmod +x rakkess-amd64-linux \
  && mv -i rakkess-amd64-linux $GOPATH/bin/rakkess

OSX

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-darwin.tar.gz \
  && tar xf rakkess-amd64-darwin.tar.gz rakkess-amd64-darwin \
  && chmod +x rakkess-amd64-darwin \
  && mv -i rakkess-amd64-darwin $GOPATH/bin/rakkess

Windows

https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-windows-amd64.zip

من المصدر

البناء على المضيف

المتطلبات:

• go 1.16 أو أحدث
• GNU make
• git

الترجمة:

export PLATFORMS=$(go env GOOS)
make all   # سيتم وضع الملفات الثنائية في out/

البناء في docker

المتطلبات:

• docker

الترجمة:

mkdir rakkess && chdir rakkess
curl -Lo Dockerfile https://raw.githubusercontent.com/corneliusweig/rakkess/master/Dockerfile
docker build . -t rakkess-builder
docker run --rm -v $PWD:/go/bin/ --env PLATFORMS=$(go env GOOS) rakkess
docker rmi rakkess-builder

سيتم وضع الملفات الثنائية في الدليل الحالي.

المستخدمون

[1]: هذا الوضع مستوحى من kubectl-who-can