$k編集ロールtest-role-nデータベース
apiVersion：rbac.authorization.k8s.io/v1
種類：役割
メタデータ：
CreationTimestamp： "2021-06-04T11：12：23Z"
名前：test-role
名前空間：データベース
resourceVersion： "1139"
selfLink：/apis/rbac.authorization.k8s.io/v1/namespaces/database/roles/test-role uid：49949265-6e01-499c-94ac-5011d6f6a353ルール：
-apiGroups：
-""
資力：
-ポッド
動詞：
- * ＃ 消去
--get＃Fixed
$ k create role test-role-2 -n database --resource statefulset --verb update
$ k create rolebinding test-role-2-bind -n database --role test-role-2 --serviceaccount = database：test-sa説明
[desk @ cli] $ k getpods-nデータベース
名前の準備ができたステータスが年齢ラベルを再開します
web-pod1/1実行中034srun = web-pod
[desk @ cli]$kロールを取得-nデータベース
テストの役割
[desk @ cli]$k編集ロールtest-role-nデータベース
apiVersion：rbac.authorization.k8s.io/v1
種類：役割
メタデータ：
CreationTimestamp： "2021-06-13T11：12：23Z"
名前：test-role
名前空間：データベース
resourceVersion： "1139"
selfLink：/apis/rbac.authorization.k8s.io/v1/namespaces/database/roles/test-role uid：49949265-6e01-499c-94ac-5011d6f6a353ルール：
-apiGroups：
-""
資力：
-ポッド
動詞：
-"*"＃これを削除
--get＃これに置き換えます
[desk @ cli] $ k create role test-role-2 -n database --resource statefulset --verb update role.rbac.authorization.k8s.io/test-role-2 created [desk @ cli] $ k create rolebinding test-role-2-bind -n database --role test-role-2 --serviceaccount = database：test-sa rolebinding.rbac.authorization.k8s.io/test-role-2-bind created参照：https：/ /kubernetes.io/docs/reference/access-authn-authz/rbac/role.rbac.authorization.k8s.io/test-role-2が作成されました
[desk @ cli] $ k create rolebinding test-role-2-bind -n database --role test-role-2 --serviceaccount = database：test-sa rolebinding.rbac.authorization.k8s.io/test-role- 2バインドが作成されました
[desk @ cli] $ k create role test-role-2 -n database --resource statefulset --verb update role.rbac.authorization.k8s.io/test-role-2 created [desk @ cli] $ k create rolebinding test-role-2-bind -n database --role test-role-2 --serviceaccount = database：test-sa rolebinding.rbac.authorization.k8s.io/test-role-2-bind created参照：https：/ /kubernetes.io/docs/reference/access-authn-authz/rbac/

すべてのポッドを選択するが、それらのポッドへの入力トラフィックを許可しないNetworkPolicyを作成することにより、名前空間の「デフォルト」の分離ポリシーを作成できます。
---
apiVersion：networking.k8s.io/v1
種類：NetworkPolicy
メタデータ：
名前：default-deny-ingress
仕様：
podSelector：{}
policyTypes：
-イングレス
すべてのポッドを選択するが、それらのポッドからの出力トラフィックを許可しないNetworkPolicyを作成することにより、名前空間の「デフォルト」の出力分離ポリシーを作成できます。
---
apiVersion：networking.k8s.io/v1
種類：NetworkPolicy
メタデータ：
名前：allow-all-egress
仕様：
podSelector：{}
出力：
-{}
policyTypes：
-出力
デフォルトでは、すべての入力トラフィックとすべての出力トラフィックが拒否されます
名前空間に次のNetworkPolicyを作成することにより、すべての入力および出力トラフィックを防止する名前空間の「デフォルト」ポリシーを作成できます。
---
apiVersion：networking.k8s.io/v1
種類：NetworkPolicy
メタデータ：
名前：default-deny-all
仕様：
podSelector：{}
policyTypes：
-イングレス
-出力
これにより、他のNetworkPolicyによって選択されていないポッドでも、入力または出力トラフィックが許可されなくなります。

すべてのポッドを選択するが、それらのポッドへの入力トラフィックを許可しないNetworkPolicyを作成することにより、名前空間の「デフォルト」の分離ポリシーを作成できます。
---
apiVersion：networking.k8s.io/v1
種類：NetworkPolicy
メタデータ：
名前：default-deny-ingress
仕様：
podSelector：{}
policyTypes：
-イングレス
すべてのポッドを選択するが、それらのポッドからの出力トラフィックを許可しないNetworkPolicyを作成することにより、名前空間の「デフォルト」の出力分離ポリシーを作成できます。
---
apiVersion：networking.k8s.io/v1
種類：NetworkPolicy
メタデータ：
名前：allow-all-egress
仕様：
podSelector：{}
出力：
-{}
policyTypes：
-出力
デフォルトでは、すべての入力トラフィックとすべての出力トラフィックが拒否されます
名前空間に次のNetworkPolicyを作成することにより、すべての入力および出力トラフィックを防止する名前空間の「デフォルト」ポリシーを作成できます。
---
apiVersion：networking.k8s.io/v1
種類：NetworkPolicy
メタデータ：
名前：default-deny-all
仕様：
podSelector：{}
policyTypes：
-イングレス
-出力
これにより、他のNetworkPolicyによって選択されていないポッドでも、入力または出力トラフィックが許可されなくなります。

サービスアカウントは、ポッドで実行されるプロセスのIDを提供します。
（人間が）クラスターにアクセスすると（たとえば、kubectlを使用して）、特定のユーザーアカウントとしてapiserverによって認証されます（クラスター管理者がクラスターをカスタマイズしていない限り、現在、これは通常adminです）。ポッド内のコンテナー内のプロセスもapiserverに接続できます。その場合、特定のサービスアカウントとして認証されます（たとえば、デフォルト）。
ポッドを作成するときに、サービスアカウントを指定しない場合、同じ名前空間のデフォルトのサービスアカウントが自動的に割り当てられます。作成したポッドの生のjsonまたはyamlを取得すると（たとえば、kubectl get pods / <podname> -o yaml）、spec.serviceAccountNameフィールドが自動的に設定されていることがわかります。
「クラスターへのアクセス」で説明されているように、自動的にマウントされたサービスアカウントのクレデンシャルを使用して、ポッド内からAPIにアクセスできます。サービスアカウントのAPI権限は、使用中の認証プラグインとポリシーによって異なります。
バージョン1.6以降では、サービスアカウントにautomountServiceAccountToken：falseを設定することで、サービスアカウントの自動マウントAPIクレデンシャルをオプトアウトできます。
apiVersion：v1
種類：ServiceAccount
メタデータ：
名前：build-robot
automountServiceAccountToken：false
..。
バージョン1.6以降では、特定のポッドの自動マウントAPIクレデンシャルをオプトアウトすることもできます。
apiVersion：v1
種類：ポッド
メタデータ：
名前：my-pod
仕様：
serviceAccountName：ビルドロボット
automountServiceAccountToken：false
..。
両方がautomountServiceAccountToken値を指定している場合、ポッド仕様はサービスアカウントよりも優先されます。