Настроить роли проекта

Роли проекта позволяют управлять доступом пользователей и групп ко всем пространствам имен внутри проекта. Роль, назначенная на уровне проекта, автоматически применяется ко всем вложенным пространствам имен.

Перед началом работыПеред началом работы

Убедитесь, что:

• У вас есть роль администратора проекта или администратора кластера.
• Проект уже создан. Если нет, создайте проект.

Специальные ролиСпециальные роли

В Stackland есть две специальные роли для управления проектами:

• stackland:admin — роль администратора проекта. Дает полный доступ ко всем ресурсам проекта, включая управление пространствами имен и ролями.
• stackland:project-member — роль участника проекта. Дает возможность видеть проект и его пространства имен в консоли управления и инструментах.

Назначить администратора проектаНазначить администратора проекта

Администратор кластера назначает администраторов проекта с помощью ресурса ProjectRoleBinding.

apiVersion: stackland.yandex.cloud/v1alpha1
kind: ProjectRoleBinding
metadata:
  name: stackland-projects-team-alpha-admins
  namespace: project-team-alpha
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: stackland:admin
subjects:
  - kind: User
    name: alice@stackland
  - kind: Group
    name: team-alpha-admins

kubectl apply -f project-role-binding.yaml

Администратор проекта получает:

• полный доступ ко всем пространствам имен проекта;
• возможность создавать и удалять пространства имен;
• возможность назначать роли другим пользователям в рамках проекта.

Добавить участника проектаДобавить участника проекта

Участник проекта видит проект и его пространства имен в интерфейсе и инструментах. Для выполнения действий с ресурсами участнику необходимо дополнительно назначить роль с нужными правами.

apiVersion: stackland.yandex.cloud/v1alpha1
kind: ProjectRoleBinding
metadata:
  name: stackland-projects-team-alpha-members
  namespace: project-team-alpha
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: stackland:project-member
subjects:
  - kind: User
    name: bob@stackland
  - kind: Group
    name: team-alpha-members

Назначить роль во всех пространствах имен проектаНазначить роль во всех пространствах имен проекта

Администратор проекта может назначить существующую ClusterRole во всех пространствах имен проекта:

apiVersion: stackland.yandex.cloud/v1alpha1
kind: ProjectRoleBinding
metadata:
  name: stackland-projects-kafka-admins
  namespace: project-team-alpha
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: stackland:editor
subjects:
  - kind: Group
    name: team-alpha-developers

Stackland автоматически создаст RoleBinding в каждом пространстве имен проекта.

Создать кастомную роль проектаСоздать кастомную роль проекта

Администратор проекта может создать кастомную роль, которая будет доступна во всех пространствах имен проекта.

1. Создайте ресурс ProjectRole:

   apiVersion: stackland.yandex.cloud/v1alpha1
   kind: ProjectRole
   metadata:
     name: stackland-projects-pg-admin
     namespace: project-team-alpha
   rules:
     - apiGroups:
         - postgresql.stackland.yandex.cloud
       resources:
         - postgresqlclusters
       verbs:
         - create
         - delete
         - patch
         - update
         - get
         - list
   

   Где:

   • metadata.name — имя роли. Должно начинаться с префикса stackland-projects-. Обязательное поле.
   • metadata.namespace — служебное пространство имен проекта. Обязательное поле.
   • rules — список правил доступа в формате Kubernetes RBAC. Обязательное поле.

2. Назначьте роль с помощью ProjectRoleBinding:

   apiVersion: stackland.yandex.cloud/v1alpha1
   kind: ProjectRoleBinding
   metadata:
     name: stackland-projects-pg-admins
     namespace: project-team-alpha
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ProjectRole
     name: stackland-projects-pg-admin
   subjects:
     - kind: Group
       name: team-alpha-pg-admins
   

Stackland автоматически создаст соответствующие Role и RoleBinding в каждом пространстве имен проекта.

Просмотреть назначенные ролиПросмотреть назначенные роли

kubectl get projectrolebindings -n project-team-alpha

kubectl get projectroles -n project-team-alpha

Отозвать рольОтозвать роль

kubectl delete projectrolebinding stackland-projects-kafka-admins -n project-team-alpha

Что дальшеЧто дальше

• Установить квоты проекта
• Управлять пространствами имен в проекте