rakkess

Revisar Acesso - plugin kubectl para mostrar uma matriz de acesso para recursos do servidor

Introdução

Você já se perguntou quais direitos de acesso você tem em um cluster Kubernetes fornecido? Para recursos individuais, você pode usar kubectl auth can-i list deployments, mas talvez esteja procurando uma visão geral completa? É para isso que serve o rakkess. Ele lista os direitos de acesso para o usuário atual e todos os recursos do servidor, similar a kubectl auth can-i --list.

Também é útil para descobrir quem pode interagir com algum recurso do servidor. Confira o subcomando rakkess resource abaixo.

Demonstração

Exemplos

Mostrar acesso para todos os recursos

• ... no escopo do cluster

  root@kitploit:~

  rakkess
  

• ... em algum namespace

  root@kitploit:~

  rakkess --namespace default
  

• ... com verbos

  root@kitploit:~

  rakkess --verbs get,delete,watch,patch
  

• ... para outro usuário

  root@kitploit:~

  rakkess --as other-user
  

• ... para outra conta de serviço

  root@kitploit:~

  rakkess --sa kube-system:namespace-controller
  

• ... e combine com parâmetros comuns do kubectl

  root@kitploit:~

  KUBECONFIG=otherconfig rakkess --context other-context
  

Mostrar sujeitos com acesso a um recurso dado¹

• ...globalmente em todos os namespaces (considera apenas ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps
  

• ...em um namespace específico (considera RoleBindings e ClusterRoleBindings)

  root@kitploit:~

  rakkess resource configmaps -n default
  

• ...com notação abreviada

  root@kitploit:~

  rakkess r cm   # igual a rakkess resource configmaps
  

• .. com verbos personalizados

  root@kitploit:~

  rakkess r cm --verbs get,delete,watch,patch
  

Funções com restrição de nome

Algumas funções se aplicam apenas a recursos com um nome específico. Para revisar tais configurações, forneça o nome do recurso como argumento adicional. Por exemplo, mostre os direitos de acesso para o ConfigMap chamado ingress-controller-leader-nginx no namespace ingress-nginx (observe a diferença sutil para nginx-ingress-serviceaccount em relação ao exemplo anterior):

Como rakkess resource precisa consultar Roles, ClusterRoles e suas ligações, geralmente requer acesso administrativo ao cluster.

Veja também Uso.

Instalação

Existem várias maneiras de instalar o rakkess. O método de instalação recomendado é via krew.

Via krew

Krew é um gerenciador de plugins kubectl. Se você ainda não instalou o krew, obtenha-o em https://github.com/kubernetes-sigs/krew. Então a instalação é tão simples quanto

kubectl krew install access-matrix

O plugin estará disponível como kubectl access-matrix, veja doc/USAGE para mais detalhes.

Binários

Ao usar os binários para instalação, também veja doc/USAGE.

Linux

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-linux.tar.gz \
  && tar xf rakkess-amd64-linux.tar.gz rakkess-amd64-linux \
  && chmod +x rakkess-amd64-linux \
  && mv -i rakkess-amd64-linux $GOPATH/bin/rakkess

OSX

curl -LO https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-amd64-darwin.tar.gz \
  && tar xf rakkess-amd64-darwin.tar.gz rakkess-amd64-darwin \
  && chmod +x rakkess-amd64-darwin \
  && mv -i rakkess-amd64-darwin $GOPATH/bin/rakkess

Windows

https://github.com/corneliusweig/rakkess/releases/download/v0.5.0/rakkess-windows-amd64.zip

A partir do código fonte

Compilar no host

Requisitos:

• go 1.16 ou mais recente
• GNU make
• git

Compilando:

export PLATFORMS=$(go env GOOS)
make all   # os binários serão colocados em out/

Compilar em docker

Requisitos:

• docker

Compilando:

mkdir rakkess && chdir rakkess
curl -Lo Dockerfile https://raw.githubusercontent.com/corneliusweig/rakkess/master/Dockerfile
docker build . -t rakkess-builder
docker run --rm -v $PWD:/go/bin/ --env PLATFORMS=$(go env GOOS) rakkess
docker rmi rakkess-builder

Os binários serão colocados no diretório atual.

Usuários

[1]: Este modo foi inspirado por kubectl-who-can