Sole Tiller 在 Kubernetes 上部署多个命名空间

Question

在https://github.com/helm/helm/blob/master/docs/rbac.md 找不到，Tiller 可以在其他多个命名空间上安装图表吗？

我希望 kube-system 命名空间上有一个 Tiller，并且还有多个命名空间：namespaceA、namespaceB、namespaceC、...。

最后我希望我可以将 nginx 部署到多个命名空间，例如：

helm init --service-account tiller --tiller-namespace kube-system
helm install nginx --tiller-namespace kube-system --namespace namespaceA
helm install nginx --tiller-namespace kube-system --namespace namespaceB

我想知道这是否可能以及如何设置服务帐户、角色和角色绑定。

谢谢。

Answer 1

可以使用 clustetRoles 而不是 Roles 来完成，这样您就可以在所有命名空间中授予权限。 clusterrole、clusterrolebinding 和 serviceaccount 代码为：

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-manager
rules:
- apiGroups: ["", "batch", "extensions", "apps"]
  resources: ["*"]
  verbs: ["*"]
---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-binding
subjects:
- kind: ServiceAccount
  name: tiller
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: tiller-manager
  apiGroup: rbac.authorization.k8s.io
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system

如果您只想授予少数命名空间的权限，则应在每个命名空间中创建一个角色绑定，如下所示：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-binding
  namespace: namespaceA
subjects:
- kind: ServiceAccount
  name: tiller
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: tiller-manager
  apiGroup: rbac.authorization.k8s.io