Как ограничить пользователей приборной панели Кубернете от просмотра секретов?

Question

Панель инструментов Kubernetes позволяет пользователям видеть все секреты, включая их исходные значения, всего за пару кликов. Эти секреты, скорее всего, содержат очень важные данные, такие как пароли производственной базы данных и секретные ключи.

Как вы ограничиваете пользователей панели мониторинга, чтобы они не могли видеть конфиденциальные данные?

Answer 1

Это known issue, и в настоящий момент это официально официально не поддерживается - панель инструментов представляет собой инструмент администрирования уровня суперпользователя. Это should not be the case навсегда, но нужна дополнительная помощь, чтобы получить его там.

В этой проблеме есть несколько обходных решений, которые работают в настоящее время. Вот некоторые заметные причуды вокруг них, о которых нужно знать заранее:

• Должно ли приборная панель находиться под пользователем панели управления и ограничена этим? Если это так, как и Анидруд, вы можете использовать вспомогательные части панели инструментов, и она будет работать нормально и получить 403s, если они получат доступ к панели «Секреты».
• Должна ли приборная панель находиться под авторизированным пользователем и ограничена тем, что может видеть этот пользователь? Это означает, что kubectl proxy будет необходим без использования какого-либо плагина браузера или прокси-сервера MITM, чтобы подключить необходимые авторизации к вызовам сервера панели мониторинга, но он is possible.