Kubernetes のロール

以下のセクションでは、Kf によって作成された Kubernetes ClusterRole について説明し、各 ClusterRole に含まれる権限を一覧表示します。

Space デベロッパー ロール

Space デベロッパー ロールは、アプリケーション デベロッパーが Kf Space 内でアプリケーションをデプロイし、管理する権限をまとめたものです。

次のコマンドを使用して、クラスタ上の Space デベロッパーに付与された権限を取得できます。

kubectl describe clusterrole space-developer

Kf のデフォルト インストールでは、次の権限が付与されます。

PolicyRule:
  Resources                               Non-Resource URLs  Resource Names  Verbs
  ---------                               -----------------  --------------  -----
  events                                  []                 []              [*]
  secrets                                 []                 []              [*]
  *.kf.dev                                []                 []              [*]
  networkpolicies.networking.k8s.io       []                 []              [*]
  pods/exec                               []                 []              [create]
  *.upload.kf.dev                         []                 []              [create]
  pods/log                                []                 []              [get list watch]
  pods                                    []                 []              [get list watch]
  rolebindings.rbac.authorization.k8s.io  []                 []              [get list watch]

Space 監査者ロール

Space 監査者ロールでは、監査者や自動ツールが Kf Space 内のアプリケーションを検証するために使用する読み取り専用権限をまとめたものです。

次のコマンドを使用して、クラスタ上の Space 監査者に付与されている権限を取得できます。

kubectl describe clusterrole space-auditor

Kf のデフォルト インストールでは、次の権限が付与されます。

PolicyRule:
  Resources                               Non-Resource URLs  Resource Names  Verbs
  ---------                               -----------------  --------------  -----
  events                                  []                 []              [*]
  apps.kf.dev                             []                 []              [get list watch]
  rolebindings.rbac.authorization.k8s.io  []                 []              [get list watch]

Space マネージャー ロール

Space マネージャー ロールは、Kf Space 内の他のユーザーに職務を委任できる権限をまとめたものです。

次のコマンドを使用して、クラスタの Space マネージャーに付与されている権限を取得できます。

kubectl describe clusterrole space-manager

Kf のデフォルト インストールでは、次の権限が付与されます。

PolicyRule:
  Resources                               Non-Resource URLs  Resource Names     Verbs
  ---------                               -----------------  --------------     -----
  clusterroles.rbac.authorization.k8s.io  []                 [space-auditor]    [bind]
  clusterroles.rbac.authorization.k8s.io  []                 [space-developer]  [bind]
  clusterroles.rbac.authorization.k8s.io  []                 [space-manager]    [bind]
  rolebindings.rbac.authorization.k8s.io  []                 []                 [get list update patch watch]
  apps.kf.dev                             []                 []                 [get list watch]

Space ダイナミック マネージャー ロール

各 Kf Space は、SPACE_NAME-manager という名前の ClusterRole を作成します。SPACE_NAME-manager は、ダイナミック マネージャー ロールと呼ばれます。

Kf は、Space 内の space-manager ロールを持つすべてのサブジェクトに、クラスタ スコープのダイナミック マネージャー ロールを自動的に付与します。ダイナミック マネージャー ロールの権限により、Space マネージャーが指定した名前で Space の設定を更新できます。

次のコマンドを使用して、クラスタ上の任意の Space ダイナミック マネージャー ロールに付与されている権限を取得できます。

kubectl describe clusterrole SPACE_NAME-manager

Kf のデフォルト インストールでは、次の権限が付与されます。

PolicyRule:
  Resources      Non-Resource URLs  Resource Names  Verbs
  ---------      -----------------  --------------  -----
  spaces.kf.dev  []                 [SPACE_NAME]    [get list watch update patch]

Kf クラスタ閲覧者ロール

Kf は、Space 内で space-developer、space-auditor、または space-manager のロールが割り当てられているクラスタ上のすべてのユーザーに kf-cluster-reader のロールを自動的に付与します。

次のコマンドを使用すると、クラスタの Space Kf クラスタ閲覧者に付与されている権限を取得できます。

kubectl describe clusterrole kf-cluster-reader

Kf のデフォルト インストールでは、次の権限が付与されます。

PolicyRule:
  Resources                     Non-Resource URLs  Resource Names  Verbs
  ---------                     -----------------  --------------  -----
  namespaces                    []                 [kf]            [get list watch]
  clusterservicebrokers.kf.dev  []                 []              [get list watch]
  spaces.kf.dev                 []                 []              [get list watch]