在现有GKE群集上启用RBAC

Question

我们已经在GKE上运行集群大约三年了。因此，启用了旧版授权。

控制平面已自动更新，并且我们的节点池正在同时运行1.12和1.14。

我们拥有越来越多的服务，并计划逐步采用istio。

我们希望实现最小的RBAC设置，而不会导致我们的服务出错和停机。

我还没有找到有关如何完成此操作的指南。有人说只是为了在GKE集群上启用RBAC授权，但是我认为那会破坏我们所有的服务。

还暗示k8可以在ABAC / RBAC混合模式下运行，但我们无法确定它是否可以运行！

是否有针对GKE迁移到RBAC的良好指南？

Answer 1

如果您的群集是区域性的，则升级时您的应用程序不会停机，但是如果您的群集是单区域或多区域的，那么最好的方法是：

1. Add a new node pool
2. Cordon the old node pool将应用程序迁移到新的节点池
3. Delete the old node pool在迁移所有Pod之后。

这是在不停机的情况下更新节点池（区域）的最安全方法。请阅读以下参考资料，以详细了解每个步骤。

参考：

https://kubernetes.io/docs/concepts/architecture/nodes/#reliability https://kubernetes.io/docs/reference/kubectl/cheatsheet/#interacting-with-nodes-and-cluster