如何配置Kubernetes RBAC规则实现Pod仅可读取自身日志

你当前的配置没有限制可访问的Pod名称，所以ServiceAccount有权限读命名空间下所有Pod的日志，可根据你的部署场景选择以下方案实现权限限制：

方案1：适用于固定名称Pod（StatefulSet、单实例固定名Pod） #

原生RBAC支持通过resourceNames字段限制指定资源的访问权限，直接修改Role配置即可：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: stdout-log-reader
rules:
  - apiGroups: [""]
    resources: ["pods/log"]
    verbs: ["get"]
    # 只允许读取指定名称Pod的日志，可填多个值
    resourceNames: ["your-pod-name-0", "your-pod-name-1"]

该方案无需引入额外组件，仅适合Pod名称可提前确定的场景，不适用于Pod名动态生成的Deployment。

方案2：适用于动态名称Pod（Deployment、DaemonSet等） #

原生RBAC无请求上下文感知能力，无法自动识别请求来自哪个Pod，需要配合额外组件实现：

2.1 基于OPA Gatekeeper准入控制实现 #

1. 先通过向下API将当前Pod名称注入Pod环境变量：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: deployment
spec:
  template:
    spec:
      serviceAccountName: sa
      containers:
      - name: 你的容器名
        image: 你的镜像地址
        env:
        - name: MY_POD_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name

2. 部署OPA Gatekeeper后配置如下规则，限制sa这个ServiceAccount请求Pod日志时，只能请求和自身Pod名称一致的资源：

规则逻辑：当请求的资源是pods/log、请求方ServiceAccount为sa时，校验请求的资源名必须等于请求发起方的Pod名称

2.2 轻量动态RBAC方案 #

如果不想部署准入控制器，可写一个轻量Operator监听Pod事件：

• 当绑定sa的Pod创建时，自动生成对应Pod专属的Role、RoleBinding，Role的resourceNames填当前Pod名称
• 当Pod销毁时，自动删除对应的RBAC资源

方案3：绕开API Server的轻量化方案 #

如果不需要通过K8s API读取日志，可直接挂载宿主机上对应Pod的日志文件到容器内，无需修改RBAC配置：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: deployment
spec:
  template:
    spec:
      containers:
      - name: 你的容器名
        image: 你的镜像地址
        volumeMounts:
        - name: self-log
          mountPath: /var/log/self-stdout.log
          readOnly: true
      volumes:
      - name: self-log
        hostPath:
          # 路径对应宿主机上该Pod的标准输出日志文件路径
          path: /var/log/containers/$(MY_POD_NAME)_$(MY_POD_NAMESPACE)_$(CONTAINER_NAME).log
          type: File
      env:
      - name: MY_POD_NAME
        valueFrom:
          fieldRef:
            fieldPath: metadata.name
      - name: MY_POD_NAMESPACE
        valueFrom:
          fieldRef:
            fieldPath: metadata.namespace
      - name: CONTAINER_NAME
        value: 你的容器名

内容的提问来源于stack exchange，提问作者wujt