Kubernetes鉴权资源 —— SubjectAccessReview详解
1、概述在 Kubernetes 集群中，授权（Authorization） 是保障安全的核心机制之一。无论是用户、ServiceAccount 还是自动化工具，对资源的操作都需要经过严格的权限控制。SubjectAccessReview 是 Kubernetes 提供的动态鉴权资源，允许开发者或管理员实时验证某个主体是否有权限执行特定操作。本文将深入解析 SubjectAccessReview 的设计原理、使用方法及实际场景，帮助你彻底掌握这一关键鉴权工具。
注意：在 SubjectAccessReview 中，"Review" 这个单词的含义更偏向于 审查 或 审核。
2、SubjectAccessReview 是什么
2.1 定义与定位
SubjectAccessReview 是 Kubernetes API 资源的一种，属于 authorization.k8s.io/v1 API 组。它的核心功能是：动态检查指定主体（用户、ServiceAccount 或组）是否有权限在某个资源上执行特定操作（如 create、delete、list 等）。与静态的 RBAC 配置不同，SubjectAccessReview 提供了一种“实时查询”机制，允许在运行时动态验证权限，非常适合自动化流程和安全审计场景。2.2 核心价值
[*]权限预检：在操作执行前验证权限，避免因权限不足导致失败。
[*]安全审计：记录权限检查结果，用于事后审计或合规性报告。
[*]动态授权：与 Webhook 或自定义控制器结合，实现灵活的访问控制逻辑。
3、SubjectAccessReview 的工作原理
3.1 请求与响应流程
+-----------------+ (1) 创建 SubjectAccessReview 请求 +----------------+| 客户端 | ------------------------------------> | API Server || （外部服务/工具）| | （授权模块处理） |+-----------------+sa-list.txt# 遍历并检查每个 SA 的权限while read sa; do namespace=$(echo $sa | cut -d/ -f1) name=$(echo $sa | cut -d/ -f2) kubectl create -f -
页:
[1]