Permissions et RBAC

Cette page décrit les permissions réellement déployées pour un compte client Kontainers, dans ses namespaces. C’est l’équivalent lisible de kubectl auth can-i --list.

Deux identités coexistent :

• votre compte utilisateur (kubeconfig téléchargé depuis Rancher) — usage interactif ;
• le ServiceAccount bs-namespace-member, pré-provisionné dans chaque namespace — pensé pour la CI/CD.

Workloads

Ressource	Utilisateur	SA bs-namespace-member
Pods, Deployments, StatefulSets, Jobs, CronJobs	CRUD complet	CRUD complet
ReplicaSets	CRUD complet	lecture seule
deployments/scale, statefulsets/scale	✅	✅
pods/log, pods/exec, pods/portforward	✅	✅
pods/attach, pods/ephemeralcontainers (kubectl debug)	❌	✅

Réseau et exposition

Ressource	Utilisateur	SA
Services	CRUD complet	CRUD complet
services/proxy	❌	✅
Ingresses	CRUD complet	CRUD complet
NetworkPolicies	lecture seule	lecture seule

Configuration et stockage

Ressource	Utilisateur	SA
ConfigMaps, Secrets	CRUD complet	CRUD complet
PersistentVolumeClaims	CRUD complet	CRUD complet
ServiceAccounts	CRUD complet	lecture seule

Certificats TLS (cert-manager)

Ressource	Droits
Certificates, Issuers	CRUD complet
CertificateRequests, Orders, Challenges (ACME)	lecture seule

Vous pouvez donc suivre l’émission d’un certificat Let’s Encrypt de bout en bout :

kubectl get certificates,certificaterequests,orders,challenges -n <namespace>

PostgreSQL managé (CNPG)

Ressource	Droits
Clusters, Databases, Poolers, Backups, ScheduledBackups	CRUD complet
ImageCatalogs, Publications, Subscriptions, FailoverQuorums	lecture seule

Un guide dédié PostgreSQL managé est à venir.

Scaling et disponibilité

Ressource	Droits
HorizontalPodAutoscalers	CRUD complet
PodDisruptionBudgets	CRUD complet

Observabilité et diagnostic

Ressource	Droits
ServiceMonitors, PodMonitors (Prometheus)	CRUD complet
Events	lecture seule
ResourceQuotas, LimitRanges	lecture seule
Endpoints, EndpointSlices	lecture seule
ControllerRevisions	lecture seule
metrics.k8s.io (kubectl top pods)	lecture seule

Accès CI/CD

Ressource	Droits
BlackswiftPermanentKubeconfigs	CRUD complet

Permet de générer des kubeconfigs non expirants pour vos pipelines. Voir CI/CD avec le ServiceAccount (à venir).

Lectures cluster-wide autorisées

• storageclasses (les 2 classes disponibles) ;
• apiservices ;
• get sur vos propres namespaces (pas de listing global).

Ce que vous ne pouvez pas faire

• Lister les namespaces du cluster (kubectl get ns est refusé) — utilisez les namespaces nommés dans votre kubeconfig ;
• Accéder aux nœuds, PersistentVolumes, CRDs, ClusterRoles ;
• Créer ou modifier des NetworkPolicies ;
• pods/proxy, deletecollection ;
• Toute action hors de vos namespaces.

Note

Ces restrictions sont le socle de l’isolation multi-tenant de la plateforme — voir Le modèle Kontainers. Si un droit vous manque pour un cas d’usage légitime, parlez-en au support.

Vérifier vous-même

# Qui suis-je ?
kubectl auth whoami

# Que puis-je faire dans mon namespace ?
kubectl auth can-i --list -n <votre-namespace>

# Test ciblé
kubectl auth can-i create clusters.postgresql.cnpg.io -n <votre-namespace>