01
Indiquer le namespace
Les Role et RoleBinding doivent porter metadata.namespace dans ce dossier hors ligne. Référencer une ClusterRole depuis un RoleBinding n’étend pas la portée aux autres namespaces.
Kubernetes
visualisation RBAC Kubernetesremonter de chaque droit à sa source
Collez les rôles et leurs bindings en YAML ou JSON, puis lancez l’analyse une fois l’ensemble prêt.
visualisation RBAC Kubernetes
Relations et constats
Collez des manifests RBAC puis lancez l’analyse.
Les données restent dans ce navigateur : aucun accès au cluster ni requête réseau.
Vérifier un droit
* désigne la portée cluster. Laissez la requête vide pour lire seulement le graphe.
Collez des manifests pour commencer.
Un rôle isolé ne dit pas qui l’a reçu. La visualisation RBAC Kubernetes relie compte de service, utilisateur ou groupe au binding puis à la règle accordée, avec sa portée réelle.
La visualisation RBAC Kubernetes se limite aux manifests fournis. Elle ne connaît ni les groupes réels d’un utilisateur ni les rôles déjà présents dans le cluster ; les références manquantes restent signalées.
Pourquoi la visualisation RBAC Kubernetes ?
Voir les chaînes de droits sans masquer les données absentes.
Chaque octroi conserve sa provenance
Le graphe des permissions RBAC montre sujet → RoleBinding → rôle → règle. Même lorsqu’il pointe vers une ClusterRole, le RoleBinding limite l’octroi à son namespace.
Un risque relié à sa règle
Les droits de lecture larges sur Secrets, les jokers et les verbes d’escalade sont associés au binding précis. Une ClusterRole agrégée ou une référence absente marque plutôt un dossier incomplet.
Vérifier la portée avant de conclure
02
Distinguer les identités
User, Group et ServiceAccount restent séparés. Deux ServiceAccounts de même nom dans des namespaces différents ne sont pas fusionnés ; l’appartenance d’un User à un Group est inconnue.
03
Lire resourceNames
Si une règle limite resourceNames, saisissez un nom. Pour list/watch, Kubernetes exige aussi un field selector adapté ; cette requête statique ne voit pas la vraie demande.
Chemins, requêtes et points à vérifier
Chaîne de permission interactive
La liaison de rôle est affichée du sujet jusqu’à la règle. Sélectionnez un nœud pour isoler les chaînes associées et garder la portée ainsi que le groupe d’API visibles.
Correspondance ressource et verbe
L’analyse des rôles compare sujet, namespace ou cluster, groupe d’API, ressource ou sous-ressource, verbe et nom facultatif aux règles collées. Vous pouvez ainsi analyser les rôles avant déploiement.
Rapport d’examen traçable
La visualisation RBAC Kubernetes exporte les jokers, lectures de Secrets, bind/escalate/impersonate et pods/exec avec leur binding d’origine.
Ce que les manifests seuls ne prouvent pas
- Aucune décision du cluster
- La visualisation RBAC Kubernetes ne se connecte pas au cluster et n’exécute pas SubjectAccessReview. L’absence de correspondance ici ne prouve pas un refus en production.
- Les références manquantes restent ouvertes
- Une roleRef introuvable ou des membres absents d’une ClusterRole agrégée rendent le dossier incomplet. Les groupes d’un utilisateur ne sont jamais déduits de son nom.
- Seules les règles de ressources sont interrogées
- nonResourceURLs figure comme non évalué. L’outil ne découvre pas la portée réelle des ressources personnalisées, ne crée pas de rôle et n’applique aucun manifest.
Questions sur la visualisation RBAC Kubernetes
Pourquoi un RoleBinding fonctionne-t-il dans un namespace mais pas dans tous ?
Même avec une ClusterRole, le RoleBinding accorde les droits dans son seul namespace. Il faut un ClusterRoleBinding pour une portée cluster.
Un ServiceAccount peut-il avoir plusieurs RoleBindings ?
Oui. Les permissions RBAC s’additionnent. Chaque binding reste une source distincte dans le graphe.
list sur Secrets permet-il de lire leur contenu ?
Une réponse list peut contenir les objets Secret et leurs données, même sans get individuel. Avec resourceNames, list/watch demande un field selector correspondant.
Un ServiceAccount peut-il lire un Secret dans un autre namespace ?
Un RoleBinding du namespace cible peut citer un ServiceAccount d’un autre namespace. Précisez le namespace de ce sujet pour ne pas confondre des homonymes.
Kubernetes RBAC peut-il refuser explicitement un droit ?
Non. RBAC ajoute des autorisations sans règle deny. Cet outil repère les octrois présents dans les fichiers, sans trancher la décision réelle du cluster.
Une autre question RBAC ?
Lancer la visualisation RBAC Kubernetes
Rassemblez rôles et bindings, suivez un sujet puis conservez le rapport pour la revue.
L’analyse reste dans ce navigateur.