2.11 · Parcours 2 — Développer et déployer des applications (CKAD)
ServiceAccounts
Lab Kubernetes · questionnaire de validation · gratuit, dans le navigateur
Vous vous connectez au cluster avec votre identité. Mais une application qui tourne dans un pod a parfois besoin, elle aussi, de parler à l'API de Kubernetes : un outil de supervision qui liste les pods, un pipeline de déploiement, un opérateur. Elle utilise alors un compte de service (ServiceAccount). Bien les gérer est une question de sécurité : par défaut, ils en donnent souvent plus que nécessaire.
Ce que vous saurez à la fin : créer un compte de service, lui donner des droits précis avec un Role et un RoleBinding, l'attribuer à un pod, vérifier ses droits, et couper l'accès à l'API quand il n'est pas nécessaire.
Au programme de ce lab
- Votre mission
- Pas à pas
- Utilisateurs et comptes de service
- Comment un pod s'authentifie
- Donner des droits : Role et RoleBinding
- Vérifier les droits d'un compte
- Attribuer un compte à un pod
Ce que KubeNow vérifie
- Le compte de service lecteur existe
- Le Role lire-pods donne get, list et watch sur les pods
- Le RoleBinding lecteur-lire-pods attribue ce rôle à lecteur
- lecteur ne peut que lire les pods : ni les supprimer, ni lire les secrets
- inspecteur tourne avec le compte lecteur
- vitrine tourne sans jeton monté