ограничение доступа пользователей EKS

Question

Я пытаюсь добавить нового пользователя в кластер EKS и затем предоставляю доступ.До сих пор я смог добавить пользователя, просто отредактировав configmap/aws-auth (kubectl edit -n kube-system configmap/aws-auth) и добавив нового пользователя в

mapUsers: |
 - userarn: arn:aws:iam::123456789:user/user01
   username: user01
   groups:
     - system:masters

Как добавить пользователя в кластер EKS и дать полный доступ к определенному пространству имен,но ничего за его пределами?

Я пытался создать Roles & RoleBinding, так как

---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: namespace1
  name: namespace1-user
rules:
- apiGroups: ["*"] 
  resources: ["*"]
  verbs: ["*"]


# This role binding allows "user01" to read pods in the "namespace1" namespace.
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: namespace1-user-role-binding
  namespace: namespace1
subjects:
- kind: User
  name: user01
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: namespace1-user

user01 может видеть все модули других пользователей с kubectl get pods --all-namespaces, есть ли способограничить это?

Answer 1

По сути, вам нужно определить роль кластера и использовать привязку роли, чтобы применить ее к определенному пространству имен. Использование роли кластера (а не роли) позволяет повторно использовать ее в пространствах имен. Использование привязки роли позволяет вам ориентироваться на определенное пространство имен, а не предоставлять разрешения для всего кластера.