Os desenvolvedores são os usuários-alvo do Kubernetes. Depois que um cluster do Tanzu Kubernetes é provisionado, você pode conceder acesso ao desenvolvedor usando a autenticação do vCenter Single Sign-On.

Autenticação para desenvolvedores

Um administrador de cluster pode conceder acesso ao cluster a outros usuários, como desenvolvedores. Os desenvolvedores podem implantar pods em clusters diretamente usando suas contas de usuário ou indiretamente usando contas de serviço. Para obter mais informações, consulte Usando políticas de segurança de pod com clusters do Tanzu Kubernetes.
  • Para autenticação de conta de usuário, Tanzu Kubernetes clusters oferecem suporte a vCenter Single Sign-On usuários e grupos. O usuário ou grupo pode ser local para o vCenter Server ou sincronizado de um servidor de diretório com suporte.
  • Para autenticação de conta de serviço, você pode usar tokens de serviço. Para obter mais informações, consulte a documentação do Kubernetes.

Adicionando usuários desenvolvedores a um cluster

Para conceder acesso ao cluster aos desenvolvedores:
  1. Defina uma função ou um ClusterRole para o usuário ou grupo e aplique-o ao cluster. Para obter mais informações, consulte a documentação do Kubernetes.
  2. Crie uma RoleBinding ou ClusterRoleBinding para o usuário ou grupo e aplique-a ao cluster. Consulte o exemplo a seguir.

Exemplo de RoleBinding

Para conceder acesso a um usuário ou grupo vCenter Single Sign-On, o assunto em RoleBinding deve conter um dos seguintes valores para o parâmetro name.
Tabela 1. Campos de usuário e grupo compatíveis
Campo Descrição
sso: USER-NAME @ DOMAIN Por exemplo, um nome de usuário local, como sso:[email protected].
sso: GRUPO-NOME @ DOMÍNIO Por exemplo, um nome de grupo de um servidor de diretório integrado ao vCenter Server, como sso:[email protected].

O exemplo a seguir RoleBinding vincula o usuário local vCenter Single Sign-On chamado Joe à ClusterRole padrão chamada edit. Essa função permite acesso de leitura / gravação à maioria dos objetos em um namespace, neste caso, o namespace default.

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: rolebinding-cluster-user-joe
  namespace: default
roleRef:
  kind: ClusterRole
  name: edit                             #Default ClusterRole
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: User
  name: sso:[email protected]            #sso:<username>@<domain>
  apiGroup: rbac.authorization.k8s.io