Στόχος

Περιορίστε την πρόσβαση των Pods στο API με ServiceAccounts, Token Mounts και RBAC.

Τι γίνεται

Το lab δημιουργεί ένα Pod χωρίς αυτόματα mounted Token και ένα Job με ServiceAccount, Role και RoleBinding για την ανάγνωση Pods.

Συνήθεις εντολές

kubectl apply -f manifests/
kubectl auth can-i list pods --as=system:serviceaccount:api-access-lab:pod-reader -n api-access-lab
kubectl logs -n api-access-lab job/api-reader
kubectl describe pod -n api-access-lab no-token

Επιβεβαίωση επιτυχίας

• Το pod-reader μπορεί να εμφανίσει τη λίστα Pods.
• Το Job μπορεί να εμφανίσει Pods μέσα στο Namespace.
• Το Pod no-token δεν έχει αυτόματα mounted ServiceAccount Token.

Συνηθισμένα λάθη

• Παραλείπεται το automountServiceAccountToken: false.
• Το RoleBinding αναφέρεται σε λανθασμένο Namespace.
• Το kubectl auth can-i εκτελείται χωρίς --as.