Создание пользователя, роли в Kubernetes и их связка через RBAC

Wed, 23 Sep 2026 00:00:00 +0000

В Kubernetes нет отдельных «пользователей» в классическом смысле — есть ServiceAccount’ы и сертификаты, привязанные к ролям через RBAC. Без правильной настройки любой, у кого есть kubeconfig, получает доступ ко всему кластеру. Ниже — полный цикл: создаём ServiceAccount, определяем права, привязываем и проверяем.

Создание ServiceAccount и генерация kubeconfig

Сначала создаём ServiceAccount в нужном namespace:

kubectl create serviceaccount devops-sa -n staging

Для генерации kubeconfig берём токен из secrets и формируем файл:

kubectl whoami и проверка прав сервис-аккаунта

Wed, 02 Sep 2026 00:00:00 +0000

При деплое приложения в Kubernetes самая частая ошибка — сервис-аккаунт не может сделать то, что должен. Permission denied при создании секрета, запрет на list pods, отказ на update. kubectl whoami и kubectl auth can-i позволяют быстро понять, кто именно и что именно не может.

Утилита kubectl whoami

Примечание

kubectl whoami — это не встроенная команда kubectl. Это плагин из krew или отдельный бинарь. Установка: kubectl krew install whoami или скачать с GitHub.

Rbac on Lead DevOps

Создание пользователя, роли в Kubernetes и их связка через RBAC

Создание ServiceAccount и генерация kubeconfig

kubectl whoami и проверка прав сервис-аккаунта

Утилита kubectl whoami