rakkess

Revue des accès - plugin kubectl pour afficher une matrice d'accès pour les ressources du serveur

Introduction

Vous êtes-vous déjà demandé quels droits d'accès vous possédez sur un cluster Kubernetes ? Pour une ressource unique, vous pouvez utiliser kubectl auth can-i list deployments, mais peut-être cherchez-vous une vue d'ensemble ? C'est à cela que sert rakkess. Il liste les droits d'accès pour l'utilisateur courant et toutes les ressources du serveur, similaire à kubectl auth can-i --list.

Il est également utile pour savoir qui peut interagir avec une ressource serveur. Consultez la sous-commande rakkess resource ci-dessous.

Démo

Exemples

Afficher les accès pour toutes les ressources

• ... au niveau du cluster

  root@kitploit:~

  rakkess
  

• ... dans un namespace

  root@kitploit:~

  rakkess --namespace default
  

• ... avec des verbes

  root@kitploit:~

  rakkess --verbs get,delete,watch,patch
  

• ... pour un autre utilisateur

  root@kitploit:~

  rakkess --as other-user
  

• ... pour un autre compte de service

  root@kitploit:~

  rakkess --sa kube-system:namespace-controller
  

• ... et combiner avec les paramètres courants de kubectl

  root@kitploit:~

  KUBECONFIG=otherconfig rakkess --context other-context
  

Afficher les sujets ayant accès à une ressource donnée¹

• ...globalement dans tous les namespaces (ne considère que les ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps
  

• ...dans un namespace donné (considère les RoleBindings et ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps -n default
  

• ...avec une notation abrégée

  root@kitploit:~

  rakkess r cm   # identique à rakkess resource configmaps
  

• .. avec des verbes personnalisés

  root@kitploit:~

  rakkess r cm --verbs get,delete,watch,patch
  

Rôles restreints par nom

Certains rôles ne s'appliquent qu'aux ressources ayant un nom spécifique. Pour examiner de telles configurations, fournissez le nom de la ressource comme argument supplémentaire. Par exemple, affichez les droits d'accès pour la ConfigMap nommée ingress-controller-leader-nginx dans le namespace ingress-nginx (notez la différence subtile pour nginx-ingress-serviceaccount par rapport à l'exemple précédent) :

Comme rakkess resource doit interroger les Roles, ClusterRoles et leurs liaisons, cela nécessite généralement un accès administrateur au cluster.

Voir aussi Usage.

Installation

Il existe plusieurs façons d'installer rakkess. La méthode d'installation recommandée est via krew.

Via krew

Krew est un gestionnaire de plugins kubectl. Si vous n'avez pas encore installé krew, obtenez-le sur https://github.com/kubernetes-sigs/krew. Ensuite, l'installation est aussi simple que

kubectl krew install access-matrix

Le plugin sera disponible sous le nom kubectl access-matrix, voir doc/USAGE pour plus de détails.

Binaires

Lorsque vous utilisez les binaires pour l'installation, jetez également un œil à doc/USAGE.

Linux

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-linux.tar.gz \
  && tar xf rakkess-amd64-linux.tar.gz rakkess-amd64-linux \
  && chmod +x rakkess-amd64-linux \
  && mv -i rakkess-amd64-linux $GOPATH/bin/rakkess

macOS

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-darwin.tar.gz \
  && tar xf rakkess-amd64-darwin.tar.gz rakkess-amd64-darwin \
  && chmod +x rakkess-amd64-darwin \
  && mv -i rakkess-amd64-darwin $GOPATH/bin/rakkess

Windows

https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-windows-amd64.zip

Depuis les sources

Construire sur l'hôte

Prérequis :

• go 1.16 ou plus récent
• GNU make
• git

Compilation :

export PLATFORMS=$(go env GOOS)
make all   # les binaires seront placés dans out/

Construire avec Docker

Prérequis :

• docker

Compilation :

mkdir rakkess && chdir rakkess
curl -Lo Dockerfile https://raw.githubusercontent.com/corneliusweig/rakkess/master/Dockerfile
docker build . -t rakkess-builder
docker run --rm -v $PWD:/go/bin/ --env PLATFORMS=$(go env GOOS) rakkess
docker rmi rakkess-builder

Les binaires seront placés dans le répertoire courant.

Utilisateurs

[1]: Ce mode a été inspiré par kubectl-who-can