（1）      RoleBinding和 ClusterRoleBinding

RoleBinding向用户或一组用户授予在角色中定义的权限。它包含主题列表（用户、组或服务账户），以及对所授予角色的引用。RoleBinding授予特定Namespace内的权限，而 ClusterRoleBinding授予在集群范围内访问的权限。

RoleBinding可以引用同一 Namespace中的任何 Role。 或者，RoleBinding可以引 用 ClusterRole并 将 该 ClusterRole绑 定 到 RoleBinding的 Namespace。 如 果 要 将ClusterRole绑定到集群中的所有 Namespace，要使用 ClusterRoleBinding。

代码清单2-71是一个 RoleBinding的示例。

apiVersion:rbac.authorization.k8s.io/v1kind:RoleBinding

metadata:

name:ns-admin-rolebindingnamespace:myspace

roleRef:

apiGroup:rbac.authorization.k8s.iokind:Role

name:ns-adminsubjects:

-  apiGroup:rbac.authorization.k8s.iokind:User

name:kcp

 

要在集群范围内完成访问权限的鉴权，可以使用一个ClusterRoleBinding（见代码清单2-72）。

apiVersion:rbac.authorization.k8s.io/v1kind:ClusterRoleBinding

metadata:

name:system:corednsroleRef:

apiGroup:rbac.authorization.k8s.iokind:ClusterRole

name:system:corednssubjects:

-  kind:ServiceAccountname:corednsnamespace:kube-system

 

 

1. Node鉴权

 

Node鉴权是一种专用授权模式，专门对 Kubelet发出的 API 请求进行鉴权。Node鉴权允许 Kubelet对多种资源有操作权限，例如，Services、Endpoints、Nodes、Pods等资源。使用 system:node组对Kubelet组件进行权限控制，要使用 Node鉴权，需要在APIServer启动参数中添加--authorization-mode=Node，RBAC。

 

2. WebHook模式

 

WebHook鉴权基于 HTTP的回调机制，这个模块在做决策时，APIServer会向远端鉴权服务器发送一个 POST请求，请求体是一个SubjectAccessReview对象，这个对象中包含了描述用户请求的资源，同时也包含了被访问资源或请求的具体信息。要启用WebHook鉴权，需要添加如下参数。

（1）--authorization-webhook-config-file=：这是一个 kubeconfig格式的配置文件，user字段引用的是 apiserverwebhook，clusters字段引用的是远端服务。

（2）--authorization-mode=Node，RBAC：启用 WebHook鉴权。