---

对应b站视频:

题目

Context 
绑定到 Pod 的 ServiceAccount 的 Role 授予过度宽松的权限。完成以下项目以减少权限集。 
Task
1.一个名为 web-pod 的现有 Pod 已在 namespace db 中运行。 编辑绑定到 Pod 的 ServiceAccount service-account-web 的现有 Role，仅允许只对 pods 类型的资源执行 get 操作。 
2.在namespace db 中创建一个名为 role-2 ，并仅允许只对 statefulsets 类型的资源执行 delete 操作的新Role。 
3.创建一个名为 role-2-binding 的新 RoleBinding，将新创建的 Role 绑定到 Pod 的
ServiceAccount。 
注意：请勿删除现有的 RoleBinding。

环境搭建

命令

kubectl create ns db
kubectl create sa service-account-web -n db
kubectl create role pods-get --verb=create,delete,get --resource=deployments,statefulsets,daemonsets,pods -n db
kubectl create rolebinding pods-get-binding --role=pods-get --serviceaccount=db:service-account-web -n db

截图

生成web-pod.yaml，修改添加serviceAccountName到spec下面，之后创建。
命令

kubectl run web-pod --image=nginx --dry-run=client -n db -o yaml > web-pod.yaml
vim web-pod.yaml
kubectl create -f web-pod.yaml

serviceAccountName: service-account-web

截图

解题

任务一

查找service-account-web绑定的role
命令

kubectl get rolebinding -n db -o yaml | grep service-account-web -B 5

或者

kubectl get rolebinding -n db -o wide

截图

修改role权限
命令

kubectl edit role pods-get -n db

截图

任务二

命令

kubectl create role role-2 --resource=statefulsets --verb=delete -n db

截图

任务三

命令

kubectl create rolebinding role-2-binding --role=role-2 --serviceaccount=db:service-account-web -n db

截图

参考

k8s学习-CKA真题-基于角色的访问控制-RBAC
k8s学习-基于角色的权限控制RBAC（概念，模版，创建，删除等）
k8s-Rolebinding
本专栏：k8s学习-CKS考试必过宝典
更多k8s相关内容，请看文章：k8s学习-思维导图与学习笔记