cruise/rbacsync

RBACSync 镜像文档

概述

RBACSync是一个Kubernetes控制器，用于同步基于Kubernetes RBAC的RoleBindings和ClusterRoleBindings。它通过整合配置对象，从组成员来源（如直接声明或GSuite等上游服务）获取用户信息，自动创建并维护引用组成员的RBAC绑定对象。

核心功能和特性

• 自定义资源定义（CRDs）：提供两种CRD管理不同作用域的RBAC配置
  • RBACSyncConfig：命名空间作用域，用于创建RoleBindings
  • ClusterRBACSyncConfig：集群作用域，用于创建ClusterRoleBindings
• 灵活的组管理：支持直接在配置中声明组成员（Memberships）或从上游来源（如GSuite）动态获取
• 自动同步机制：配置变更或上游组成员更新时，自动更新关联的RBAC绑定
• 生命周期管理：删除配置对象时，自动清理关联的RoleBindings/ClusterRoleBindings
• GSuite集成：支持从GSuite Groups同步成员，可与本地声明成员合并

使用场景和适用范围

• 集中管理Kubernetes集群的RBAC权限，尤其是当用户组来自外部系统（如企业GSuite）时
• 需要跨命名空间或集群范围统一分配RBAC权限的场景
• 动态响应组成员变化，自动更新RBAC权限，减少手动操作
• 结合ClusterRole与命名空间RoleBinding，实现集群级角色的命名空间级应用

使用方法和配置说明

自定义资源（CRDs）

RBACSync通过以下CRDs管理绑定配置：

CRDs定义文件位于deploy/00-crds.yml，可通过kubectl apply -f deploy/00-crds.yml部署。

Bindings配置

bindings字段定义组到RBAC绑定的映射，示例：

yaml
apiVersion: rbacsync.getcruise.com/v1alpha
kind: ClusterRBACSyncConfig
metadata:
  name: example-simple
spec:
  bindings:
  - group: mygroup-admin@getcruise.com
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: cluster-admin

上述配置将为mygroup-admin@getcruise.com组创建ClusterRoleBinding，生成的绑定对象示例：

yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  annotations:
    rbacsync.getcruise.com/group: mygroup-admin@getcruise.com
  labels:
    owner: example-simple
  name: example-simple-mygroup-admin@getcruise.com-cluster-admin
  ownerReferences: # 由配置对象拥有
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects: # 来自上游或memberships的用户列表
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: a@getcruise.com
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: b@getcruise.com

Memberships配置

memberships字段用于直接声明组成员，可与上游来源合并，示例：

yaml
spec:
  memberships:
  - group: cluster-admin-group
    subjects:
    - kind: User
      name: a@getcruise.com
      apiGroup: rbac.authorization.k8s.io
    - kind: User
      name: b@getcruise.com
      apiGroup: rbac.authorization.k8s.io
  - group: someother-group
    subjects:
    - kind: User
      name: a@getcruise.com
      apiGroup: rbac.authorization.k8s.io

注意：使用GSuite时通常不需要此部分，但可用于补充成员（如服务账户）。

GSuite集成配置

1. 准备GSuite服务账户：

   • 创建具有以下权限的GSuite"机器人"账户：
     • https://www.googleapis.com/auth/admin.directory.group.readonly
     • https://www.googleapis.com/auth/admin.directory.group.member.readonly
   • 创建GCP服务账户并启用"G Suite Domain-Wide Delegation"
   • 在GSuite管理控制台为服务账户授权上述作用域

2. 创建Kubernetes Secret：

   bash
   kubectl create secret generic --from-file=token.json=<服务账户密钥路径> rbacsync-gsuite-credentials
   

3. 修改部署配置：

   yaml
   # 在deploy/20-deployment.yml中添加卷和参数
   spec:
     volumes:
     - name: rbacsync-gsuite-credentials
       secret:
         secretName: rbacsync-gsuite-credentials
     containers:
     - name: rbacsync
       args:
       - "-logtostderr"
       - "-gsuite.enabled"
       - "-gsuite.credentials"
       - "/run/secrets/gsuite/token.json"
       - "-gsuite.delegator"
       - "my-rbacsync-robot@getcruise.com"
       volumeMounts:
       - mountPath: /run/secrets/gsuite
         name: rbacsync-gsuite-credentials
   

部署步骤

1. 部署RBACSync：

   bash
   kubectl apply -f deploy/
   

2. 创建配置对象：

   • 集群级配置示例（ClusterRBACSyncConfig）：

     yaml
     apiVersion: rbacsync.getcruise.com/v1alpha
     kind: ClusterRBACSyncConfig
     metadata:
       name: example-cluster-config
     spec:
       bindings:
       - group: cluster-admins@example.com
         roleRef:
           apiGroup: rbac.authorization.k8s.io
           kind: ClusterRole
           name: cluster-admin
     

   • 命名空间级配置示例（RBACSyncConfig）：

     yaml
     apiVersion: rbacsync.getcruise.com/v1alpha
     kind: RBACSyncConfig
     metadata:
       name: example-namespace-config
       namespace: default
     spec:
       bindings:
       - group: namespace-admins@example.com
         roleRef:
           apiGroup: rbac.authorization.k8s.io
           kind: Role
           name: admin
     

3. 验证部署：

   bash
   kubectl get clusterrolebindings | grep example-cluster-config
   kubectl get rolebindings -n default | grep example-namespace-config
   

配置参数

rbacsync二进制支持以下主要参数：