Authorization

authorization mode

• Node

• ABAC : 수정사항 있으면 매번 kube-apiserver 재시작해야 하므로 관리하기 어려움

• RBAC : 역할role을 생성하고, 역할에 권한을 부여하는 식으로 관리함. 그리고 유저를 역할에 소속되도록 설정함

• Webhook : 외부에서 권한 관리하는 경우 사용

• Alwaysallow(default) : 승인 확인 없이 항상 요청 허용

• AlwaysDeny : 항상 모든 요청 거절

kube-apiserver 옵션에서 인증 모드 설정 가능함

# 예시
ExecStart=/usr/local/bin/kube-apiserver \\
  --authorization-mode=Node, RBAC, Webhook \\
  ...

모드 설정에 지정된 순서대로 요청을 사용할 권한이 부여됨

만약 권한 승인받지 못한 경우, 체인 방식으로 다음 단계에서 다시 권한 승인 여부를 체크하게 됨
어떤 체인에서든 한 번이라도 권한을 받게 된다면 사용자는 승인 받게 된다.(아래 그림 상에서 Node에선 거절, RBAC에선 승인)