Роль Openshift: позволяет откатить предыдущую версию развертывания, не имея права изменять ее - PullRequest
Новая
       6

Роль Openshift: позволяет откатить предыдущую версию развертывания, не имея права изменять ее

0 голосов
/ 18 февраля 2019

Я ищу решение, позволяющее пользователю откатить предыдущую версию развертывания, не имея права изменять развертывание (образы, переменные среды, стратегия, ...).

I 'Я пытаюсь создать роль для разработчиков, которые будут использовать CICD Pipelines только для развертывания новой версии, но я бы хотел, чтобы они могли вернуться к ней в случае необходимости.

В настоящее время эта роль, в частности: 

- apiGroups:
  - ""
  - apps.openshift.io
  attributeRestrictions: null
  resources:
  - deploymentconfigs
  verbs:
  - get
  - list
  - watch
- apiGroups:
  - ""
  - apps.openshift.io
  attributeRestrictions: null
  resources:
  - deploymentconfigs/scale
  verbs:
  - create
  - delete
  - deletecollection
  - get
  - list
  - patch
  - update
  - watch
- apiGroups:
  - ""
  - apps.openshift.io
  attributeRestrictions: null
  resources:
  - deploymentconfigrollbacks
  - deploymentconfigs/instantiate
  - deploymentconfigs/rollback
  verbs:
  - create
- apiGroups:
  - ""
  - apps.openshift.io
  attributeRestrictions: null
  resources:
  - deploymentconfigs/log
  - deploymentconfigs/status
  verbs:
  - get
  - list
  - watch

Я получаю следующую ошибку: 

$ oc rollback DC_NAME --to-version=19
Error from server (Forbidden): deploymentconfigs.apps.openshift.io "DC_NAME" is forbidden: User "foo" cannot update deploymentconfigs.apps.openshift.io in the namespace "NAMESPACE_NAME": User "foo" cannot update deploymentconfigs.apps.openshift.io in project "NAMESPACE_NAME"

Или 

$ oc rollout undo dc DC_NAME --to-revision=19
Error from server (Forbidden): deploymentconfigs.apps.openshift.io "DC_NAME" is forbidden: User "foo" cannot update deploymentconfigs.apps.openshift.io in the namespace "NAMESPACE_NAME": User "foo" cannot update deploymentconfigs.apps.openshift.io in project "NAMESPACE_NAME"

Если я добавлю глагол "update" к ресурсу "deployconfigs", у меня нетошибки, но разработчик может изменить развертывание.

У вас есть идеи?

Спасибо

...