flant/kube-rbac-proxy

kube-rbac-proxy

镜像概述

kube-rbac-proxy是轻量级HTTP代理，针对单一上游服务，通过Kubernetes API的SubjectAccessReview执行RBAC授权。在无NetworkPolicies的集群中，它能限制请求仅允许持有有效且RBAC授权的令牌或客户端TLS证书的Pod访问上游服务，填补集群安全管控空白。

核心功能

1. 双认证机制：支持客户端TLS证书（CA验证）和Bearer令牌（TokenReview验证）两种身份认证方式。
2. RBAC授权检查：通过SubjectAccessReview验证已认证用户是否具备访问上游服务的RBAC权限。
3. 上游代理转发：认证授权通过后，将请求安全转发至指定上游服务。
4. 请求头增强：可向上游请求添加用户名称、组等认证相关头信息（如x-remote-user、x-remote-groups）。
5. 灵活配置：支持命令行参数或配置文件设置上游地址、认证CA、OIDC参数等。

使用场景

1. 保护Prometheus指标端点：防止未授权Pod访问node-exporter、kube-state-metrics等敏感指标服务。
2. 集群内服务访问控制：限制跨Pod的未授权请求，覆盖HostNetworking Pod或无NetworkPolicies集群的场景。
3. 外部用户请求管控：结合OIDC支持，对外部用户请求进行认证和授权。

配置说明

关键命令行参数

• --upstream：上游服务的目标URL（必填）。
• --config-file：配置文件路径，定义SubjectAccessReview规则。
• --client-ca-file：客户端证书CA文件，用于验证客户端身份。
• --secure-listen-address：HTTPS服务监听地址（如0.0.0.0:8443）。
• --kubeconfig：连接Kubernetes API的配置文件（未设置则使用集群内默认配置）。

Docker部署示例

基础HTTPS运行命令

bash
docker run -d \
  --name kube-rbac-proxy \
  -p 8443:8443 \
  -v /path/to/kubeconfig:/kubeconfig \
  -v /path/to/tls:/tls \
  flant/kube-rbac-proxy \
  --secure-listen-address=0.0.0.0:8443 \
  --upstream=http://my-app:8080 \
  --kubeconfig=/kubeconfig \
  --tls-cert-file=/tls/server.crt \
  --tls-private-key-file=/tls/server.key \
  --client-ca-file=/tls/ca.crt

配置文件驱动示例（config.yaml）

yaml
upstream: http://my-frontend:80
subjectAccessReview:
  resourceAttributes:
    namespace: default
    resource: deployments
    name: my-frontend
    verb: get

运行时指定配置文件：

bash
docker run -d \
  --name kube-rbac-proxy \
  -p 8443:8443 \
  -v /path/to/config.yaml:/config.yaml \
  -v /path/to/kubeconfig:/kubeconfig \
  flant/kube-rbac-proxy \
  --config-file=/config.yaml \
  --kubeconfig=/kubeconfig

注意事项

• 令牌认证需使用低权限令牌，避免安全风险；优先推荐mTLS认证。
• 该工具与NetworkPolicies互补，不替代其功能。
• 可与Envoy/Istio配合使用，作为Sidecar提供Kubernetes特定RBAC授权能力。
• 项目处于alpha阶段，配置和行为可能随版本迭代变化。