Как ограничить пользователей Kubernetes Dashboard от просмотра секретов?

Question

Панель инструментов Kubernetes позволяет пользователям просматривать все секреты, включая их исходные значения, всего за пару кликов. Эти секреты, вероятно, будут содержать очень конфиденциальные данные, такие как пароли производственной базы данных и закрытые ключи.

Как вы ограничиваете пользователей Dashboard, чтобы они не могли видеть конфиденциальные данные?

Answer 1

Это известная проблема, и на данный момент она просто официально не поддерживается - Dashboard - инструмент администрирования на уровне суперпользователя. Это не должно иметь место навсегда, но требуется больше помощи, чтобы получить его там.

В этой теме обсуждаются некоторые обходные пути, которые работают в настоящее время. Вот некоторые примечательные причуды вокруг них, о которых нужно знать заранее:

• Должна ли панель мониторинга находиться под пользователем панели мониторинга и ограничена этим? Если так, то, как предложила Анируд, вы можете нейтрализовать части панели инструментов, и она будет работать нормально и получит 403, если они получат доступ к панели секретов.
• Должна ли панель мониторинга находиться под зарегистрированным пользователем и быть ограничена тем, что может видеть этот пользователь? Это означает, что kubectl proxy будет необходимо без какого-либо подключаемого модуля браузера или прокси-сервера MITM, чтобы присоединить необходимую аутентификацию к вызовам сервера панели мониторинга, но это возможно.