01
Namespace im Manifest angeben
Role und RoleBinding benötigen für diese Offline-Auswertung metadata.namespace. Eine ClusterRole im RoleBinding erweitert die Erlaubnis nicht auf andere Namespaces.
Kubernetes
Kubernetes RBAC visualisierenBerechtigungen bis zur Regel verfolgen
Rollen und Bindings als YAML oder JSON einfügen und die vollständige Auswahl bewusst analysieren.
Kubernetes RBAC visualisieren
Beziehungen und Hinweise
RBAC-Manifeste einfügen und analysieren.
Manifeste bleiben in diesem Browser; keine Clusterverbindung oder Netzwerkanfrage.
Berechtigung prüfen
* steht für Cluster-Scope. Für die reine Grafik können die Abfragefelder leer bleiben.
Manifeste einfügen.
Eine einzelne Role verrät nicht, welche Identität sie über mehrere Bindings erhält. Kubernetes RBAC visualisieren zeigt die Kette von User, Group oder ServiceAccount bis zur konkreten Regel und ihrem Geltungsbereich.
Kubernetes RBAC visualisieren wertet nur die eingefügten Manifeste aus. Standardrollen, Gruppenzugehörigkeit und weitere Autorisierer im Cluster bleiben unbekannt; fehlende Belege werden deshalb ausdrücklich markiert.
Warum Kubernetes RBAC visualisieren?
Jede Berechtigung erhält eine nachvollziehbare Quelle.
Bindung und Geltungsbereich sehen
Die RBAC Visualisierung verbindet Subjekt, RoleBinding, Rolle und Ressource. Auch wenn ein RoleBinding auf eine ClusterRole zeigt, gilt die Berechtigung nur in seinem Namespace.
Prüfsignale an Regeln binden
Breite Secret-Leserechte, Wildcards und Eskalationsverben erscheinen mit dem verursachenden Binding. Fehlende Rollen und aggregierte ClusterRoles werden als unvollständige Daten behandelt.
Vor einer Aussage zuerst den Scope prüfen
02
Identität gezielt wählen
User, Group und ServiceAccount bleiben getrennt. Ein ServiceAccount wird mit seinem Namespace unterschieden; aus einem Usernamen lässt sich keine Gruppenmitgliedschaft ableiten.
03
Namenbeschränkung beachten
Bei resourceNames muss ein Objektname angegeben sein. Für list/watch verlangt Kubernetes zusätzlich einen passenden Field Selector; diese Abfrage kennt die echte Anfrage nicht.
Pfade, Abfragen und Auffälligkeiten
Nachvollziehbarer Rechtepfad
Die Rollenbindung zeigt Subjekt → Binding → Rolle → Regel. Ein Klick auf einen Knoten filtert die zusammenhängenden Pfade, ohne API-Gruppe oder Namespace zu verlieren.
Ressource und Verb abgleichen
Der Kubernetes Berechtigungsprüfer testet Subjekt, Namespace oder Cluster-Scope, API-Gruppe, Ressource einschließlich Subressource, Verb und optionalen Objektnamen.
Bericht mit Quellen
Kubernetes RBAC visualisieren exportiert einen Markdown-Bericht zu Wildcards, Secrets, bind/escalate/impersonate und pods/exec samt Binding und Regel.
Grenzen einer Offline-Prüfung
- Kein Urteil über den Live-Cluster
- Kubernetes RBAC visualisieren stellt keine Clusterverbindung her und ruft kein SubjectAccessReview auf. Kein Treffer im Text beweist keine Ablehnung durch den API-Server.
- Unbekannte Beziehungen bleiben offen
- Fehlt die referenzierte Role oder ein Mitglied einer aggregierten ClusterRole, bleibt der Bericht unvollständig. Die Zugehörigkeit von Usern zu Groups wird nicht geraten.
- Nur Ressourcenregeln in der Abfrage
- nonResourceURLs werden als nicht ausgewertet gemeldet. Der echte Scope eigener CRDs wird nicht entdeckt; Manifeste werden weder erzeugt noch angewendet.
Fragen zu Kubernetes RBAC visualisieren
Warum erlaubt ein RoleBinding Zugriff in einem Namespace, aber nicht in allen?
Ein RoleBinding begrenzt auch eine referenzierte ClusterRole auf seinen Namespace. Für eine clusterweite Vergabe ist ein ClusterRoleBinding nötig.
Kann ein ServiceAccount mehrere RoleBindings haben?
Ja. RBAC-Berechtigungen addieren sich. Die Ansicht zeigt jedes Binding als eigene Quelle statt eine einzige Gewinnerrolle auszuwählen.
Erlaubt list auf Secrets auch das Lesen der Inhalte?
Die list-Antwort kann Secret-Objekte samt Daten enthalten, auch ohne get für einzelne Objekte. Bei resourceNames sind für list/watch passende Field Selector nötig.
Kann ein ServiceAccount Secrets in einem anderen Namespace lesen?
Ein RoleBinding im Ziel-Namespace kann einen ServiceAccount aus einem anderen Namespace nennen. Dessen Namespace muss im Manifest eindeutig sein.
Kann Kubernetes RBAC Zugriffe ausdrücklich verbieten?
Nein. RBAC fügt nur Erlaubnisse hinzu. Diese statische Prüfung zeigt gefundene Grant-Pfade, nicht die endgültige Autorisierungsentscheidung des Clusters.
Noch eine Frage zu RBAC?
Jetzt Kubernetes RBAC visualisieren
Die zugehörigen Rollen und Bindings gemeinsam einfügen, einen Pfad verfolgen und den Prüfbericht sichern.
Die Analyse läuft ausschließlich im Browser.