如何在Kubernetes中限制用户仅对特定服务进行端口转发

Kubernetes的RBAC权限系统支持精准控制到特定资源的操作，完全能满足你只允许内部分用户访问生产环境中特定服务端口转发的需求。

先说说你当前配置的问题 #

你现在用了ClusterRole（集群级角色）和ClusterRoleBinding，这会导致权限覆盖整个集群，而且没有任何资源范围限制，所以才会允许访问所有服务的端口转发。另外要注意：ClusterRoleBinding里的namespace字段是无效的——ClusterRoleBinding本身是集群范围的绑定，不会被命名空间限制。

正确的配置方案（推荐） #

要实现你的需求，我们应该用命名空间级的Role和RoleBinding，再结合资源标签过滤（Kubernetes 1.23及以上版本支持）来精准限制可操作的Pod：

# 在production命名空间创建专属Role，仅允许对带有指定标签的Pod执行端口转发
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: allow-port-forward-specific-service
  namespace: production
rules:
- apiGroups: [""]
  resources: ["pods/portforward"]
  verbs: ["get", "list", "create"]
  # 仅允许匹配该标签的Pod，这里替换成你目标服务的Pod标签
  selector:
    matchLabels:
      app: deployment-a
---
# 将该Role绑定给指定用户，权限作用域严格限制在production命名空间
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: allow-port-forward-specific-service-binding
  namespace: production
subjects:
- kind: User
  name: "xyz@org.com"
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: allow-port-forward-specific-service
  apiGroup: rbac.authorization.k8s.io

低版本集群的替代方案（K8s < 1.23） #

如果你的集群版本低于1.23，不支持Role规则里的selector字段，可以通过指定具体的Pod名称来限制（缺点是Pod重启后名称会变化，需要手动更新Role）：

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: allow-port-forward-specific-pods
  namespace: production
rules:
- apiGroups: [""]
  resources: ["pods/portforward"]
  verbs: ["get", "list", "create"]
  # 直接指定允许的Pod名称，多个用逗号分隔
  resourceNames: ["deployment-a-7f98d7c6b4-2xqzk", "deployment-a-7f98d7c6b4-5rmlp"]
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: allow-port-forward-specific-pods-binding
  namespace: production
subjects:
- kind: User
  name: "xyz@org.com"
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: allow-port-forward-specific-pods
  apiGroup: rbac.authorization.k8s.io

权限验证 #

配置完成后，你可以用以下命令测试权限是否生效：

kubectl auth can-i create pods/portforward --namespace production --as xyz@org.com --resource-name <目标Pod名称>

如果返回yes说明权限配置正确，返回no则表示该Pod不在允许范围内。

内容的提问来源于stack exchange，提问作者VBoi