在多租户 Kubernetes 集群中设置卷权限

Question

情况：
- 用户 A、B、C、D
- 团队 1：用户 A，用户 B
- 团队 2：用户 C，用户 D

期望：
- 每个用户都有私人音量
- 每个团队都有一个共享卷 --> 团队中的用户可以看到共享卷
- 一些用户，基于权限，可以看到两个共享卷

现在搜索了很长时间，在文档中没有看到解决方案。

想法：
- 使用命名空间！问题 --> 无法再看到其他命名空间的共享卷

Answer 1

这是您将如何做的一个例子。您可以为不同的团队使用命名空间。

然后您可以为每个卷使用Role 并相应地分配给用户。 （角色是命名空间的）。一个示例角色是：

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: team1
  name: volume-access
rules:
- apiGroups: [""]
  resources: ["persistentvolume", "persistentvolumeclaims"]
  resourceNames: ["my-volume"]
  verbs: ["update", "get", "list", "patch", "watch"]

那么你的绑定会是这样的：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: pv-binding
  namespace: team1
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: volume-access
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: usera
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: userb

以上内容将由用户 A 和用户 B 共享。您可以为私有卷创建单独的角色。