01
Declare o namespace
Role e RoleBinding precisam de metadata.namespace para a leitura offline. Um ClusterRole citado por RoleBinding continua limitado ao namespace do binding.
Kubernetes
visualizador RBAC Kubernetessiga a origem de cada permissão
Cole os papéis e bindings em YAML ou JSON e analise quando o conjunto estiver completo.
visualizador RBAC Kubernetes
Relações e achados
Cole manifestos RBAC e execute a análise.
Os manifestos ficam neste navegador; sem conexão ao cluster ou requisição de rede.
Consultar concessão
* representa o escopo do cluster. Deixe a consulta vazia para ver só o grafo.
Cole manifestos para começar.
Olhar somente um Role não mostra quem recebeu suas regras. O visualizador RBAC Kubernetes liga usuário, grupo ou conta de serviço ao binding e à regra, preservando o escopo.
O visualizador RBAC Kubernetes lê apenas os manifestos enviados ao campo local. Não conhece grupos reais de usuários, papéis padrão do cluster nem outros autorizadores; referências ausentes aparecem como dados incompletos.
Por que usar o visualizador RBAC Kubernetes?
Cada concessão tem origem e limite visíveis.
Do sujeito até a regra
A visualização RBAC mostra sujeito → RoleBinding → papel → regra. Mesmo apontando para um ClusterRole, um RoleBinding só concede permissões no próprio namespace.
Achados com vínculo concreto
Curingas, leitura ampla de Secrets e verbos de escalada são exibidos junto ao binding responsável. Papel ausente ou agregado incompleto não vira falsa negativa.
Leia o escopo antes de concluir
02
Escolha o sujeito certo
User, Group e ServiceAccount são identidades diferentes. Contas de serviço homônimas em namespaces distintos não são unidas; associação de usuário a grupo não é inferida.
03
Confira a restrição por nome
resourceNames exige um nome de recurso na consulta. list/watch também precisa de um field selector correspondente, que esta análise estática não tem como conferir.
Caminhos, consultas e alertas de revisão
Relação clicável
O vínculo de função mostra sujeito → binding → papel → regra. Selecione um nó para isolar caminhos e manter grupo de API e namespace à vista.
Consulta por recurso e verbo
A análise de permissões compara sujeito, escopo, grupo de API, recurso ou subrecurso, verbo e nome opcional com as regras fornecidas.
Relatório com origem
O visualizador RBAC Kubernetes exporta Markdown com curingas, Secrets, bind/escalate/impersonate e pods/exec, indicando o binding que motivou cada alerta.
Limites da análise dos manifestos
- Sem decisão do cluster real
- O visualizador RBAC Kubernetes não abre conexão com o cluster nem chama SubjectAccessReview. Ausência de regra correspondente no texto não prova que a requisição seria negada.
- Referências ausentes continuam abertas
- Se faltar o Role referenciado ou membros de um ClusterRole agregado, o relatório fica incompleto. O nome de um User não revela de quais Groups ele participa.
- Consulta apenas regras de recursos
- nonResourceURLs aparece como não avaliado. O app não descobre o escopo real de CRDs, não cria papéis e não aplica manifestos.
Dúvidas sobre o visualizador RBAC Kubernetes
Por que um RoleBinding permite acesso em um namespace, mas não em todos?
RoleBinding limita até mesmo um ClusterRole ao namespace do próprio binding. Para conceder em todo o cluster, use ClusterRoleBinding.
Um ServiceAccount pode ter vários RoleBindings?
Pode. As concessões RBAC se somam. O relatório preserva cada binding como fonte, sem escolher um papel vencedor.
A permissão list em Secrets permite ler o conteúdo?
A resposta list pode trazer objetos Secret e seus dados mesmo sem get individual. Com resourceNames, list/watch também depende de field selector compatível.
Um ServiceAccount pode ler Secret em outro namespace?
Um RoleBinding no namespace de destino pode citar uma conta de serviço de outro namespace. Informe o namespace do sujeito para evitar confusão entre homônimos.
O Kubernetes RBAC permite negar explicitamente?
Não. O RBAC soma concessões. Esta página aponta caminhos encontrados nos manifestos; não decide o resultado final da autorização no cluster.
Ainda tem dúvida sobre RBAC?
Abra o visualizador RBAC Kubernetes
Junte papéis e bindings, siga um sujeito e guarde o relatório para revisão.
A análise roda somente neste navegador.