如何仅在 kubernetes rbac 中控制对 pod/exec 的访问，而无需创建绑定的 pod？

【问题标题】：how to control access for pods/exec only in kubernetes rbac without pods create binded?如何仅在 kubernetes rbac 中控制对 pod/exec 的访问，而无需创建绑定的 pod？
【发布时间】：2018-05-08 04:18:10
【问题描述】：

我查看了 kubernetes 文档，发现 pods/exec 资源没有动词，并且不知道如何只控制它的访问权限？由于我创建了一个 pod，其他人需要使用 'exec' 访问它，但无法在我的集群中创建任何内容。

如何实现？

【问题讨论】：

标签： kubernetes rbac

【解决方案1】：

由于 pods/exec 是 pods 的子资源，如果要 exec 一个 pod，首先需要获取该 pod，所以这里是我的角色定义。

kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods", "pods/log"]
  verbs: ["get", "list"]
- apiGroups: [""]
  resources: ["pods/exec"]
  verbs: ["create"]

【讨论】：

我知道有点晚了.. 但是有没有办法继承所有子资源？
你的意思是所有的命名空间？将Role 替换为ClusterRole。