rakkess

Zugriff überprüfen - kubectl-Plugin zur Anzeige einer Zugriffsmatrix für Server-Ressourcen

Intro

Haben Sie sich jemals gefragt, welche Zugriffsrechte Sie auf einem bereitgestellten Kubernetes-Cluster haben? Für einzelne Ressourcen können Sie kubectl auth can-i list deployments verwenden, aber vielleicht suchen Sie eine vollständige Übersicht? Dafür ist rakkess gedacht. Es listet die Zugriffsrechte für den aktuellen Benutzer und alle Server-Ressourcen auf, ähnlich wie kubectl auth can-i --list.

Es ist auch nützlich, um herauszufinden, wer mit einer Server-Ressource interagieren darf. Probieren Sie den Unterbefehl rakkess resource unten.

Demo

Beispiele

Zugriff für alle Ressourcen anzeigen

• ... auf Cluster-Ebene

  root@kitploit:~

  rakkess
  

• ... in einem Namespace

  root@kitploit:~

  rakkess --namespace default
  

• ... mit Verben

  root@kitploit:~

  rakkess --verbs get,delete,watch,patch
  

• ... für einen anderen Benutzer

  root@kitploit:~

  rakkess --as other-user
  

• ... für ein anderes Servicekonto

  root@kitploit:~

  rakkess --sa kube-system:namespace-controller
  

• ... und mit üblichen kubectl-Parametern kombinieren

  root@kitploit:~

  KUBECONFIG=otherconfig rakkess --context other-context
  

Subjekte mit Zugriff auf eine bestimmte Ressource anzeigen¹

• ... global in allen Namespaces (berücksichtigt nur ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps
  

• ... in einem bestimmten Namespace (berücksichtigt RoleBindings und ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps -n default
  

• ... mit Kurzschreibweise

  root@kitploit:~

  rakkess r cm   # same as rakkess resource configmaps
  

• .. mit benutzerdefinierten Verben

  root@kitploit:~

  rakkess r cm --verbs get,delete,watch,patch
  

Namenseingeschränkte Rollen

Manche Rollen gelten nur für Ressourcen mit einem bestimmten Namen. Um solche Konfigurationen zu überprüfen, geben Sie den Ressourcennamen als zusätzliches Argument an. Zeigen Sie beispielsweise die Zugriffsrechte für die ConfigMap namens ingress-controller-leader-nginx im Namespace ingress-nginx an (beachten Sie den subtilen Unterschied für nginx-ingress-serviceaccount zum vorherigen Beispiel):

Da rakkess resource Roles, ClusterRoles und deren Bindungen abfragen muss, benötigt es normalerweise administrativen Cluster-Zugriff.

Siehe auch Verwendung.

Installation

Es gibt mehrere Möglichkeiten, rakkess zu installieren. Die empfohlene Installationsmethode ist über krew.

Über krew

Krew ist ein kubectl-Plugin-Manager. Wenn Sie krew noch nicht installiert haben, holen Sie es sich unter https://github.com/kubernetes-sigs/krew. Dann ist die Installation so einfach wie

kubectl krew install access-matrix

Das Plugin wird als kubectl access-matrix verfügbar sein. Weitere Einzelheiten finden Sie in doc/USAGE.

Binärdateien

Wenn Sie die Binärdateien zur Installation verwenden, schauen Sie auch in doc/USAGE.

Linux

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-linux.tar.gz \
  && tar xf rakkess-amd64-linux.tar.gz rakkess-amd64-linux \
  && chmod +x rakkess-amd64-linux \
  && mv -i rakkess-amd64-linux $GOPATH/bin/rakkess

OSX

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-darwin.tar.gz \
  && tar xf rakkess-amd64-darwin.tar.gz rakkess-amd64-darwin \
  && chmod +x rakkess-amd64-darwin \
  && mv -i rakkess-amd64-darwin $GOPATH/bin/rakkess

Windows

https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-windows-amd64.zip

Aus dem Quellcode

Auf dem Host bauen

Anforderungen:

• go 1.16 oder neuer
• GNU make
• git

Kompilieren:

export PLATFORMS=$(go env GOOS)
make all   # binaries will be placed in out/

In Docker bauen

Anforderungen:

• docker

Kompilieren:

mkdir rakkess && chdir rakkess
curl -Lo Dockerfile https://raw.githubusercontent.com/corneliusweig/rakkess/master/Dockerfile
docker build . -t rakkess-builder
docker run --rm -v $PWD:/go/bin/ --env PLATFORMS=$(go env GOOS) rakkess
docker rmi rakkess-builder

Die Binärdateien werden im aktuellen Verzeichnis abgelegt.

Nutzer

[1]: Dieser Modus wurde inspiriert von kubectl-who-can