01
Укажите namespace
Для автономного анализа Role и RoleBinding должны содержать metadata.namespace. Ссылка на ClusterRole из RoleBinding не расширяет права за пределы этого namespace.
Kubernetes
визуализация RBAC Kubernetesпроследить источник каждого права
Вставьте роли и привязки YAML или JSON и запустите анализ, когда набор будет собран.
визуализация RBAC Kubernetes
Связи и замечания
Вставьте манифесты RBAC и запустите анализ.
Манифесты обрабатываются в браузере без подключения к кластеру и сетевых запросов.
Проверить разрешение
* означает весь кластер. Оставьте поля пустыми, чтобы смотреть только граф.
Вставьте манифесты.
По одной Role нельзя понять, кому она назначена. Визуализация RBAC Kubernetes показывает путь от пользователя, группы или ServiceAccount через привязку к конкретному правилу и его области действия.
Визуализация RBAC Kubernetes видит только переданные манифесты. Членство пользователей в группах, встроенные роли и другие авторизаторы кластера остаются неизвестными; пропуски отмечаются отдельно.
Зачем нужна визуализация RBAC Kubernetes
Источники разрешений видны вместе с пробелами в данных.
Цепочка для каждого разрешения
Граф прав RBAC связывает субъект, RoleBinding, роль и правило. Даже если RoleBinding ссылается на ClusterRole, разрешение действует лишь в namespace самой привязки.
Сигнал риска с основанием
Широкий доступ к Secrets, подстановочные знаки и действия повышения прав сопровождаются исходной привязкой. Отсутствующие роли и неполные агрегированные роли не считаются отказом.
Сначала проверьте область действия
02
Выберите точного субъекта
User, Group и ServiceAccount рассматриваются отдельно. Учётные записи с одинаковым именем в разных namespace не объединяются, а членство пользователя в группе не угадывается.
03
Учтите имена ресурсов
Если указано resourceNames, в запросе требуется имя ресурса. Для list/watch нужен ещё соответствующий field selector; статическая форма не проверяет реальный запрос.
Просмотр цепочек и проверка правил
Связанный граф
Привязки ролей показаны как субъект → binding → роль → правило. Выберите узел, чтобы оставить связанные цепочки и увидеть namespace и API group.
Запрос по ресурсу и действию
Проверка прав сравнивает субъект, область, группу API, ресурс или подресурс, действие и необязательное имя с правилами из текста.
Отчёт с источниками
Визуализация RBAC Kubernetes сохраняет в Markdown сведения о wildcard, Secrets, bind/escalate/impersonate и pods/exec вместе с вызвавшей их привязкой.
Пределы статической проверки
- Нет решения живого кластера
- Визуализация RBAC Kubernetes не обращается к API сервера и не выполняет SubjectAccessReview. Отсутствие совпадения в тексте не доказывает реальный отказ.
- Недостающие связи не выдумываются
- Если нет roleRef или части участников агрегированной ClusterRole, отчёт остаётся неполным. Группы пользователя нельзя вывести из его имени.
- Проверяются правила ресурсов
- nonResourceURLs отмечается как неоценённый. Инструмент не определяет фактическую область CRD, не создаёт роли и не применяет манифесты.
Вопросы о визуализация RBAC Kubernetes
Почему RoleBinding работает в одном namespace, но не во всех?
RoleBinding ограничивает даже ClusterRole своим namespace. Для выдачи прав во всём кластере нужен ClusterRoleBinding.
Может ли ServiceAccount иметь несколько RoleBinding?
Да. Разрешения RBAC складываются. Отчёт сохраняет каждую привязку как отдельный источник, не выбирая одну «главную» роль.
Позволяет ли list для Secrets прочитать их содержимое?
Ответ list может включать объекты Secret и их данные даже без get отдельного объекта. При resourceNames для list/watch также нужен field selector.
Может ли ServiceAccount прочитать Secret из другого namespace?
RoleBinding в целевом namespace может указать ServiceAccount из другого namespace. В манифесте нужно явно задать namespace этой записи.
Есть ли в Kubernetes RBAC явное правило запрета?
Нет. RBAC только добавляет разрешения. Страница находит цепочки во входном наборе, но не определяет окончательное решение кластера.
Остался вопрос по RBAC?
Начать: визуализация RBAC Kubernetes
Соберите роли и привязки, проследите выбранного субъекта и сохраните отчёт для проверки.
Анализ выполняется только в браузере.