群集管理员和管理员Kubernetes ClusterRoles之间的区别
群集管理员（Cluster Administrator）和管理员Kubernetes ClusterRoles（ClusterRoles）之间存在一些区别。
群集管理员是负责管理整个Kubernetes集群的角色。他们拥有最高级别的权限，可以执行对整个集群的操作，包括创建、删除和修改各种资源，如节点、命名空间、服务、部署等。群集管理员还可以配置集群级别的策略，如访问控制、网络策略等。他们通常是系统管理员或运维团队的成员。
而管理员Kubernetes ClusterRoles是一种授权机制，用于定义和管理群集管理员的权限。ClusterRoles定义了一组权限规则，指定了可以执行的操作和访问的资源范围。管理员可以将ClusterRoles分配给特定的用户或用户组，以授予他们对集群的特定权限。这样可以实现细粒度的访问控制，确保只有经过授权的用户可以执行特定的操作。
总结一下，群集管理员是一个角色，负责管理整个Kubernetes集群，拥有最高级别的权限。而管理员Kubernetes ClusterRoles是一种授权机制，用于定义和管理群集管理员的权限。通过分配ClusterRoles，可以实现对集群中不同用户或用户组的权限控制。
腾讯云相关产品和产品介绍链接地址：
- 腾讯云容器服务 TKE（Tencent Kubernetes Engine）：腾讯云提供的托管式Kubernetes服务，可帮助用户快速搭建和管理Kubernetes集群。详情请参考：https://cloud.tencent.com/product/tke
- 腾讯云访问管理 CAM（Cloud Access Management）：腾讯云的身份和访问管理服务，可用于管理和控制用户对云资源的访问权限。详情请参考：https://cloud.tencent.com/product/cam
相关·内容
在Azure Portal中添加用户创建web应用程序、sql服务器和其他资源的正确方法是什么？
你只是邀请他们作为一个用户在广告部分，并赋予他们的角色？哪些角色看起来像应用程序管理员和云应用程序管理员？
浏览 3提问于2020-02-19得票数 1
回答已采纳
我们正在使用K8s集群，但是我们没有集群级别的权限，所以我们只能在我们的命名空间上创建Role和ServiceAccount，并且我们只需要在我们的命名空间中安装一个服务网格解决方案(Istio或Linkerd)。 我们的运营团队会同意为我们在集群上应用CRD，这样就可以处理部分问题，但我们不能请求集群管理员权限来设置服务网格解决方案。 我们认为，如果我们将舵形图上的所有ClusterRole和ClusterRoleBinding更改为Role和RoleBinding，应该可以做到这一点。 因此，问题是:如果没有K8s集群的管理员权限，我们如何使用Istio或Linkerd设置服务网格？
浏览 18提问于2019-10-14得票数 3
已经有个腾讯云帐号，脑子迷糊用私人qq号注册的，还完成了企业认证，
后面如果有技术团队了，那不就意味着这个私人qq号要拿出来给团队用。所以想重新申请个腾讯云帐号，做企业认证时能通过吗？（前面已经有一个腾讯云帐号认证为这家企业）
浏览 3250提问于2017-09-14
我在GKE上运行Kubernetes应用程序。在GCP IAM控制台中，我可以看到几个内置角色，例如Kubernetes Engine Admin。每个角色都有一个ID和与之关联的权限-例如，Kubernetes Engine Admin具有ID roles/container.admin和大约300个权限，每个权限都类似于container.apiServices.create。 在kubernetes集群中，我可以运行： kubectl get clusterrole | grep -v system: # exclude system roles 这将返回以下内容： NAME
浏览 35提问于2019-03-23得票数 0
我正在尝试理解授予kubernetes serviceaccount执行部署、服务创建等权限的安全含义。该角色是具有命名空间角色绑定的集群角色。
使用案例是使用服务帐户自动化/编排群集内的一些任务。版本为1.16
浏览 2提问于2020-08-05得票数 0
1回答
我对Azure非常陌生(但对AWS非常熟悉)。我们的组织有一个在单层级别上使用的订阅(例如，有一个级别的管理员用户控制订阅的所有资产)。
我的问题是:给定单个订阅，是否可以定义对自己的部门或组资产具有管理员权限的用户或用户组？
附注:我使用Azure设置了一个试用订阅。那天下午，我接到Microsoft Azure support的电话，并被告知他们正在待命，为用户问题提供支持。到目前为止，我收到的都是试图联系他们的语音信箱。(真正从微软获得支持的日子已经一去不复返了)。
浏览 1提问于2015-11-28得票数 0
我在IBM Bluemix上的用户帐户下创建了一个kubernetes集群，并将另一个添加到我的组织中。但他看不到我的星团。是否有其他配置？
浏览 6提问于2017-09-04得票数 0
我已经创建了一个AKS集群，启用了AKS管理的Azure和基于角色的访问控制(RBAC)。如果我试图通过使用包含在Admin组中的一个帐户来连接集群，那么一切都按其应有的方式工作。当我试图与一个不是Admin组成员的用户一起做这件事时，我遇到了一些困难。我所做的是：
创建了一个新用户
将Azure Kubernetes服务集群用户角色和Azure Kubernetes服务RBAC读取器分配给该用户。
执行以下命令: aks获取凭证--资源组RG1 --名称aksttest
然后执行以下命令: kubectl -n测试，得到以下错误:来自服务器的错误(禁止)：禁止使用akst
浏览 1提问于2021-10-19得票数 3
这两个集群角色在每个Kubernetes集群中都是默认的，但是拥有这两个角色的目的/它们之间的具体区别是什么？
浏览 19提问于2020-02-19得票数 2
回答已采纳
Wetest 服务， 下面的 压力测试 等等功能 如何给子账户授权 让子账户可以登录 腾讯云 使用此服务！
image.png
浏览 495提问于2019-04-23
请您帮助我了解如何配置NetworkPolicy以便设置规则，即只有预定义的用户角色才能访问特定的pod (或服务)？
我从Kubernetes开始，阅读了"Kebernetes in action"，但没有找到任何关于如何做到这一点的描述。一般来说，这个请求是授权任务，唯一的解决方案(我想)是应用某种CustomResourceDefinition并创建我自己的控制器来管理CustomNetworkPolicy的行为。我是在正确的道路上，还是有任何适当的解决方案？
我的微服务目前在应用程序级别上配备了授权，但我需要在集群级别上移动此任务。其中一个原因是，我可以编排用户的访问，
浏览 0提问于2020-02-29得票数 1
这是不可能的吗？根据医生的说法：
系统管理员，在授予对pod创建的访问权限时请小心使用。被授予在名称空间中创建荚(或创建荚的控制器)权限的用户可以:读取名称空间中的所有秘密；读取名称空间中的所有配置映射；以及模拟名称空间中的任何服务帐户并采取帐户可能采取的任何操作。无论授权模式如何，这都是适用的。
https://kubernetes.io/docs/reference/access-authn-authz/authorization/#privilege-escalation-via-pod-creation
我希望用户能够创建一个pod，但是如果他们在pod规范中指定了一个比他们拥有更多权
浏览 0提问于2020-09-03得票数 1
2回答
如何在Kubernetes上创建其他用户，以便他/她可以从web和CLI (kubectl)访问Kubernetes集群，并允许该用户管理特定的命名空间？
浏览 0提问于2017-03-14得票数 0
我有一个用enableAzureRBAC=true配置的AKS集群
我正在尝试通过Flux安装入口-nginx Helm图表。
它会抛出错误
reconciliation failed: failed to get last release revision: query: failed to query with labels: secrets is forbidden: User "system:serviceaccount:nginx:flux-applier" cannot list resource "secrets" in API group
浏览 30提问于2022-10-06得票数 0
2回答
我有一个具有kubernetes引擎管理员角色的gcp服务帐户，尝试创建新集群时出错。有什么想法吗？
gcloud auth activate-service-account --key-file service_account.json
gcloud config set project my_proj_name
gcloud container clusters create dummy --num-nodes=3 -m n1-standard-8 --zone europe-west1-b
ERROR: (gcloud.container.clusters.create) Resp
浏览 5提问于2018-01-25得票数 1
将腾讯云的对象存储通过COFS方式挂载到本地后，显示只有所有者可读写，现在想让其他组和用户也可读，但是用ROOT账户对其进行权限修改，提示chmod: changing permissions of `mnt/cos': Input/output error ，无法进行权限修改，请问该如何修改权限。
浏览 1374提问于2018-09-28
回答已采纳
1回答
我有一个AKS集群，支持azure rbac和AAD。我正在尝试创建一个具有最小权限的自定义角色，以便能够创建集群角色，但如果不在自定义角色中设置Microsoft.ContainerService/managedClusters/rbac.authorization.k8s.io/clusterroles/escalate/action，则无法使其工作。我应该使用哪些/哪些其他权限的原因是什么，这样我就不必使用escalate了。
浏览 28提问于2021-09-21得票数 0
我已经使用Helm在我的Azure Kubernetes Service集群上部署了Kubernetes Dashboard v2.0.4。由于某些原因，我在页面的右上角没有用户图标，并且我会以最小的访问权限自动登录到仪表板。
我可以通过在仪表板安装过程中创建的serviceAccount和集群管理员角色之间创建一个clusterRoleBinding来授予自己管理员访问权限，但我希望能够提供令牌，而不必将其直接绑定到仪表板的serviceAccount。
这是来自Azure的Kubernetes Dashboad附加组件的屏幕截图，您可以在其中看到我正在讨论的用户图标：
以下是来自我的仪表板
浏览 0提问于2020-11-25得票数 0
1回答
我的Kubernetes用户不是集群中的管理员。因此，我只是不能为文件节拍服务帐户创建集群角色绑定。我正在使用自动发现在文件拍。有人能帮我吗?没有集群角色我怎么能做到这一点。
apiVersion: v1
kind: ConfigMap
metadata:
name: filebeat-config
namespace: logging
labels:
k8s-app: filebeat
kubernetes.io/cluster-service: "true"
data:
filebeat.yml: |-
setup.dashboard
浏览 3提问于2021-05-03得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储活动推荐
腾讯云开发者
