文档首页/ 云容器引擎 CCE/ 常见问题/ 权限/ 如果不配置集群管理权限,是否可以使用kubectl命令呢?
更新时间:2024-06-21 GMT+08:00
分享

如果不配置集群管理权限,是否可以使用kubectl命令呢?

使用kubectl命令无需经过IAM认证,因此理论上不配置集群管理(IAM)权限是可以使用kubectl命令的。但前提是需要获取具有命名空间权限的kubectl配置文件(kubeconfig),以下场景认证文件传递过程中均存在安全泄露风险,应在实际使用中注意。

  • 场景一

    如果某IAM子用户先配置了集群管理权限和命名空间权限,然后在界面下载kubeconfig认证文件。后面再删除集群管理权限(保留命名空间权限),依然可以使用kubectl来操作Kubernetes集群。因此如需彻底删除用户权限,必须同时删除该用户的集群管理权限和命名空间权限。

  • 场景二

    如果某IAM用户拥有一定范围的集群管理权限和命名空间权限,然后在界面下载kubeconfig认证文件。此时CCE根据用户信息的权限判断kubectl有权限访问哪些Kubernetes资源,即哪个用户获取的kubeconfig文件,kubeconfig中就拥有哪个用户的认证信息,任何人都可以通过这个kubeconfig文件访问集群。

相关文档