Rory McCune. Рассказ о том как гибкость Kubernetes может добавить ряд сложностей и в данном моменте тут про авторизацию. Я думаю многие в курсе что в стандартном кластере обычно у вас сразу два обработчика авторизации это RBAC и Node. Но можно и больше и мнение каждого будет учитываться. Идея статьи сводится к тому что если вы используете свою кастомную авторизацию, то встроенные механизмы
k8s, на примере, kubectl auth can-i могут работать некорректно. Но могу честно сказать по нашему многолетнему опыту аудитов командой Luntry такого мы еще не встречали ...В статье содержится код проекта, демонстрирующий как вы еще можете написать и добавить свой собственный
Authz Webhook с логикой. И на память приходит реализация ReBAC, о которой мы писали ранее.Также тут несколько раз повторяется о том что
admission control всегда имеет последнее слово и при желании может отменить, то что разрешила авторизация. На пример, ограничить в правах Cluster Admin ;)