Joe's questions

有很多命名空间，每个命名空间中都会创建 helm 角色来运行 helm。您必须将创建角色权限添加到所有应用程序命名空间中集群中的每个 helm 角色。告诉我该怎么做？

我猜这可以通过

kubectl path role helm -p "набор параметров" -А

但我不确定所有命名空间的标志都适用于此，而且我不明白如何设置一组参数。掌舵角色之一的清单看起来像

kubectl describe role helm -n myapp

Name:         helm
Labels:       <none>
Annotations:  <none>
PolicyRule:
  Resources                               Non-Resource URLs  Resource Names  Verbs
  ---------                               -----------------  --------------  -----
  *                                       []                 []              [*]
  *.apps                                  []                 []              [*]
  *.autoscaling                           []                 []              [*]
  *.batch                                 []                 []              [*]
  *.extensions                            []                 []              [*]
  *.networking.k8s.io                     []                 []              [*]
  rolebindings.rbac.authorization.k8s.io  []                 []              [get patch]
  roles.rbac.authorization.k8s.io         []                 []              [get patch]

Yaml 看起来像：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  annotations:
    meta.helm.sh/release-name: myapp-develop
    meta.helm.sh/release-namespace: myapp-beta
  creationTimestamp: "2023-11-17T11:15:45Z"
  labels:
    app.kubernetes.io/managed-by: Helm
  name: helm
  namespace: myapp-beta
rules:
- apiGroups:
  - ""
  - apps
  - autoscaling
  - batch
  - extensions
  - networking.k8s.io
  resources:
  - '*'
  verbs:
  - '*'
- apiGroups:
  - rbac.authorization.k8s.io
  resources:
  - rolebindings
  - roles
  verbs:
  - get
  - patch

或者请告诉我如何以不同的方式做到这一点？

我有一个 yml 文件，我以一个条件启动它

{% if inventory.parameters.access_groups.dev is defined %}
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev
  namespace: {{ inventory.parameters.namespace }}
...
{% endif %}

对于某些应用程序，此 inventory.parameters.access_groups.dev 参数将存在，但对于其他应用程序，则不会。

库存示例，其中：

parameters:
  access_groups:
    dev:
      - maingroup

据我了解，如果存在此参数 inventory.parameters.access_groups.dev，则只有条件内的执行才会发生。如果没有参数，则不应执行。

但是当我编译 kapitan 并且我引用的库存中没有这个变量时，我收到错误： Jinja2 error: failed to render /kapitan/templates/helm/app_rbac_dev.yml: Jinja2 TemplateError: 'dict object'没有属性“access_groups”，位于 /kapitan/templates/helm/app_rbac_dev.yml:1

请告诉我如何在 yml 中设置条件，以便在没有 inventory.parameters.access_groups.dev 变量的情况下，这种情况根本不会发生？使用“已定义”对我不起作用。

我正在使用kapitan来创建config.yaml我的 Django 项目。
内容YAML template configuration：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev
  namespace: {{ inventory.parameters.namespace }}
subjects:
{% for groups in inventory.parameters.rbac.groups %}
  - kind: User
    name: {{ groups }}
    namespace: {{ inventory.parameters.namespace }}
{% endfor %}
roleRef:
  kind: Role
  name: dev
  apiGroup: rbac.authorization.k8s.io

这是变量文件的内容：

groups:
  beta:
    - test_user1
    - test_user2
  demo:
    - test_user3
    - test_user4

编译后我得到这个结果config.yaml：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev
  namespace: m-beta
subjects:
  - kind: User
    name: beta
    namespace: m-beta
  - kind: User
    name: demo
    namespace: m-beta
roleRef:
  kind: Role
  name: dev
  apiGroup: rbac.authorization.k8s.io

我如何更改这一行：

name: {{ groups }}

这样我就可以得到用户名：test_user1、test_user2、test_user3、test_user4，而不是组名？

结果config.yaml应包含以下内容：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev
  namespace: mvideo-beta
subjects:
  - kind: User
    name: test_user1
    namespace: m-beta
  - kind: User
    name: test_user2
    namespace: m-beta
  - kind: User
    name: test_user3
    namespace: m-beta
  - kind: User
    name: test_user4
    namespace: m-beta
roleRef:
  kind: Role
  name: dev
  apiGroup: rbac.authorization.k8s.io

谢谢你的帮助！