受限的Kubernetes服务帐户

Question

我想创建一个服务帐户，该帐户应具有对k8s api的0访问权限。 是否可以创建这样的帐户？什么是角色定义？

Answer 1

您可以尝试定义如下角色：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: nothing
rules: []

创建它：

kubectl apply -f nothing.yaml

然后将其绑定到您的ServiceAccount：

kubectl create rolebinding nothing --serviceaccount my-serviceaccount --role nothing

Answer 2

Kubernetes遵循最小特权原则。如果创建服务帐户但不附加任何角色绑定或群集角色绑定，则它将无权访问Kubernetes API。