Kubernetes RBAC动词：没有列表，反之亦然？看没有清单？

有趣的问题，这里有一些想法和实践中的用法示例。

在实践中还有更多示例。例如，您可以浏览浏览默认的ClusterRoles kubectl describe clusterroles。要了解kubectl在后台请求的API，可以增加日志的详细程度，例如kubectl get pods -w -v 10。

得到但不列出

您希望某人能够阅读他们按名称知道的资源，但不发现其他资源。例如，允许做kubectl get mypod，但不允许做kubectl get pods。

例子：

• 该system:nodeClusterRole已经获得，但不是名单上的端点，肺静脉和PVC的权限。
• 该system:corednsClusterRole已经获得，但不是名单上的节点的权限。
• 该system:controller:expand-controllerClusterRole已经获得，但不是名单上的端点，秘密，和服务权限。

列出但没有得到

允许这样做，例如，kubectl get pods但不允许这样做kubectl get pod mypod。这没有多大意义，因为您可以通过get获得的所有信息也都包含在list中。但是，实际上有一些用法。

例子：

• 该system:kube-dnsClusterRole有列表和手表的端点和服务的权限，但没有得到。
• 该system:controller:daemon-set-controllerClusterRoel有列表和手表的节点上的权限，但没有得到。
• 该system:corednsClusterRole有列表和手表为端点的权限，命名空间，豆荚和服务，而不是得到。

获取并列出，但不观看

实际上，在大多数情况下，有清单的地方也会有手表。您可以剥夺某人的监视权，以减少etcd上的监视者数量。用户可以执行kubectl get pods和kubectl get pods mypod，但不能使用该-w选项。

如果API不支持监视操作（例如可选的度量标准API），则也很有意义。

例子：

• 该system:controller:persistent-volume-binderClusterRole有得到和列表的节点上的权限，但不能看

观看，但不获取并列出

关于用例，这没有多大意义，因为您可以通过get和list获得的所有信息也包含在watch中。我不知道在实践中对此有任何具体用法。

但是，从技术上讲，这是可能的。例如，如果您具有Pod的监视权限，但没有get和list，则可以执行以下操作：

✅ kubectl get --raw="/api/v1/watch/namespaces/default/pods"
✅ kubectl get --raw="/api/v1/watch/namespaces/default/pods/mypod"

而且有效。但是，watch不建议使用这些端点，而应使用带参数的列表端点watch。但这也可以：

✅ kubectl get --raw="/api/v1/namespaces/default/pods?watch=true"

但是，您不能像这样观看单个Pod，因为get端点没有watch参数。因此，以下内容无效：

❌ kubectl get --raw="/api/v1/namespaces/default/pods/mypod?watch=true"

而且，您根本无法使用kubectl观看资源。以下失败：

❌ kubectl get pods -w
❌ kubectl get pods mypod -w

因为kubectl在监视请求之前分别创建了一个列表和get请求，所以很可能会获取资源的，然后将这些资源包括在后续监视请求中。resourceVersion

注意：这意味着，如果您具有list和watch，则kubectl get pods -w可以使用，但kubectl get pods mypod -w不能使用；如果您有get and watch，则kubectl get pods mypod -w可以使用，但kubectl get pods -w不能使用。