RBAC

Istio RBAC（Role Based Access Control）定义了 ServiceRole 和 ServiceRoleBinding 对象。

ServiceRole 声明里包含一个规则列表（权限）。每个规则有如下的标准字段：

• services: services 列表。
• methods: HTTP methods。在 gRPC 场景下，由于值总是 POST，该字段会被忽略。
• paths: HTTP paths 或 gRPC methods。 注意 gRPC methods 的格式应为 /packageName.serviceName/methodName，并且是大小写敏感的。除了标准字段，操作人员也可以在 constraints 字段中使用自定义 key，“约束和属性”页中列出了被支持的 key。

如下是一个名为 product-viewer 的 ServiceRole 对象，在服务 products.svc.cluster.local 的 v1 和 v2 版本上，它具有 read（GET 和 HEAD）权限。由于没有指定 path，它将作用于这个服务的所有 path 上。

apiVersion: "rbac.istio.io/v1alpha1"
kind: ServiceRole
metadata:
  name: products-viewer
  namespace: default
spec:
  rules:
  - services: ["products.svc.cluster.local"]
    methods: ["GET", "HEAD"]
    constraints:
    - key: "destination.labels[version]"
      value: ["v1", "v2"]

ServiceRoleBinding 对象的声明包含两部分：

• roleRef 字段引用相同 namespace 下的 ServiceRole 对象。
• 被分配到该角色的 subjects 列表。除了一个简单的 user 字段，操作人员也可以在 properties 字段中使用自定义 key，“约束和属性” 页列出了被支持的 key。

如下是一个名为 test-binding-products 的 ServiceRoleBinding 对象，将两个 subjects 绑定到了名为 product-viewer 的 ServiceRole 上。

• alice@yahoo.com 用户
• abc namespace 下的所有 Service。

apiVersion: "rbac.istio.io/v1alpha1"
kind: ServiceRoleBinding
metadata:
  name: test-binding-products
  namespace: default
spec:
  subjects:
  - user: alice@yahoo.com
  - properties:
      source.namespace: "abc"
  roleRef:
    kind: ServiceRole
    name: "products-viewer"

AccessRule

AccessRule 定义了一个访问一系列 services 的权限。

AccessRule.Constraint

自定义约束的声明，“约束和属性” 页列出了被支持的 key。

RbacConfig

RbacConfig 定义了控制 Istio RBAC 行为的全局配置。这种类型的 Custom Resource 是独占的，在整个 mesh 中只能全局性创建一次，并且要跟其它 Istio 组件的 namespace 相同，通常为 istio-system。注意：这点在 istioctl 和 server 端都是强制的，如果已经存在了，创建新的 Custom Resource 会被拒绝，用户只能删掉或者修改已存在的定义。

如下是一个名为 istio-rbac-config 的 RbacConfig 对象的例子，允许 Istio RBAC 控制 default namespace 下的全部 Service。

apiVersion: "rbac.istio.io/v1alpha1"
kind: RbacConfig
metadata:
  name: default
  namespace: istio-system
spec:
  mode: ON_WITH_INCLUSION
  inclusion:
    namespaces: [ "default" ]

RbacConfig.Mode

RbacConfig.Target

Target 定义了一个 services 或 namespaces 列表。

RoleRef

RoleRef 引用一个 role 对象。

ServiceRole

ServiceRole 的声明中包含一个访问规则（权限）列表。它在 ServiceRole 对象的 spec 部分表示。ServiceRole 的名称和 namespace 在 metadata 部分指定。

ServiceRoleBinding

ServiceRoleBinding 向 ServiceRole 对象分配 subjects 列表。它在 ServiceRoleBinding 对象的 spec 部分表示。 ServiceRoleBinding 的 名称 and namespace 在 metadata 部分指定。

Subject

Subject 定义了一个身份。 这个身份可以是一个用户，也可以通过一组 properties 来识别。properties 中支持的 keys 已经在“约束和属性”页列出。