4. 权限边界模型：RBAC 基础、Role/ClusterRole、RoleBinding/ClusterRoleBinding

在多租户隔离集群中，权限边界是安全的第一道防线。Kubernetes 原生基于角色的访问控制（RBAC）提供了细粒度的权限管理能力，而 Helm Chart 在渲染和安装过程中必须严格遵守这些权限模型。本节将系统讲解 RBAC 的核心概念、资源对象及其在 Helm 多租户场景下的最佳实践。

4.1 RBAC 基础与核心概念

RBAC（Role-Based Access Control）是 Kubernetes 默认的授权机制，通过“角色”和“绑定”两个核心概念实现权限管理。其基本原理是：谁（Subject）能对哪些资源（Resource）执行什么操作（Verb）。

4.2 Role 与 ClusterRole：权限定义的核心

Role 和 ClusterRole 都包含一组规则（rules），每条规则由 apiGroups、resources、verbs 三个字段组成。两者的区别在于作用域：Role 仅作用于特定命名空间，而 ClusterRole 作用于整个集群（包括所有命名空间和非命名空间资源）。

4.2.1 Role 示例：命名空间级权限

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: tenant-alpha
  name: pod-reader
rules:
- apiGroups: [""]               # 核心 API 组
  resources: ["pods"]           # 资源类型
  verbs: ["get", "list", "watch"]  # 只读操作
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "list"]

4.2.2 ClusterRole 示例：集群级权限

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-reader
rules:
- apiGroups: [""]
  resources: ["nodes", "persistentvolumes"]  # 集群范围资源
  verbs: ["get", "list"]
- apiGroups: ["rbac.authorization.k8s.io"]
  resources: ["clusterroles", "clusterrolebindings"]
  verbs: ["get", "list"]

4.3 RoleBinding 与 ClusterRoleBinding：权限绑定的桥梁

RoleBinding 和 ClusterRoleBinding 将角色（Role/ClusterRole）与主体（User/Group/ServiceAccount）关联起来。绑定决定了权限的生效范围：

• RoleBinding：将 Role 绑定到主体，权限作用域为 Role 所在的命名空间。
• ClusterRoleBinding：将 ClusterRole 绑定到主体，权限作用域为整个集群。
• RoleBinding 引用 ClusterRole：将 ClusterRole 绑定到主体，但权限作用域限制在 RoleBinding 所在的命名空间（常用模式）。

4.3.1 三种绑定模式对比

4.3.2 推荐的多租户绑定模式

# 1. 定义集群级只读角色（模板）
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: tenant-readonly
rules:
- apiGroups: [""]
  resources: ["pods", "services", "configmaps", "secrets"]
  verbs: ["get", "list", "watch"]
---
# 2. 在每个租户命名空间内创建 RoleBinding，引用 ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: tenant-alpha
  name: alpha-readonly-binding
subjects:
- kind: ServiceAccount
  name: alpha-sa
  namespace: tenant-alpha
roleRef:
  kind: ClusterRole
  name: tenant-readonly
  apiGroup: rbac.authorization.k8s.io

4.4 权限边界模型 SVG 架构图

下图展示了多租户 Helm 部署中 RBAC 权限边界的完整模型，包括角色定义、绑定关系和作用域隔离：

4.5 Helm Chart 中的 RBAC 模板化实践

在 Helm Chart 中，RBAC 资源应该通过模板动态生成，以适应多租户场景。以下是推荐的模板化策略：

4.5.1 模板文件结构

charts/tenant-app/
├── templates/
│   ├── _helpers.tpl          # 公共模板函数
│   ├── clusterrole.yaml      # 集群级角色定义（可选）
│   ├── role.yaml             # 命名空间角色定义
│   ├── rolebinding.yaml      # 角色绑定
│   └── serviceaccount.yaml   # 服务账户
└── values.yaml               # 租户配置

4.5.2 动态生成 RoleBinding 的模板示例

{{- /* templates/rolebinding.yaml */ -}}
{{- range .Values.tenants }}
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: {{ .name }}-{{ $.Values.roleName }}
  namespace: {{ .namespace }}
  labels:
    tenant: {{ .name }}
    app.kubernetes.io/managed-by: {{ $.Release.Service }}
subjects:
- kind: ServiceAccount
  name: {{ .serviceAccountName }}
  namespace: {{ .namespace }}
roleRef:
  kind: ClusterRole
  name: {{ $.Values.roleName }}
  apiGroup: rbac.authorization.k8s.io
{{- end }}

4.5.3 values.yaml 配置示例

# 公共角色名称
roleName: tenant-readonly

# 租户列表
tenants:
  - name: alpha
    namespace: tenant-alpha
    serviceAccountName: alpha-sa
  - name: beta
    namespace: tenant-beta
    serviceAccountName: beta-sa
  - name: gamma
    namespace: tenant-gamma
    serviceAccountName: gamma-sa

4.6 权限边界检查清单