RBAC وهويات الخدمة

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata: {name: config-reader, namespace: training}
rules:
  - apiGroups: [""]
    resources: [configmaps]
    verbs: [get, list]

يلزم ربط الدور لهوية ليمنح قراءة ConfigMap؛ ولا يضم سرا أوربطا أوسلطة عنقودية ولا يطبق.

capability             review consequence
read ConfigMap         nonsecret configuration visibility
list Secret            potential sensitive-value disclosure
create Pod             indirect mounted-credential access
change RoleBinding     authorization model modification
exec into container    workload execution and data access

تصف المصفوفة المخاطر لا أذونات فعلية أوعمليات؛ وتحكم السلطة كل ضوابط البيئة.