Какие инструменты или сервисы вы использовали для улучшения работы с RBAC?

В DevOps-практике RBAC критически важен для принципа наименьших привилегий. Я использовал следующие инструменты:

1. Kubernetes RBAC: Основной инструмент для контроля доступа внутри кластера. Создавал ServiceAccount для CI/CD-агентов, Role и RoleBinding для ограничения действий в конкретных неймспейсах (например, только на чтение логов в production). Для кластерных администраторов использовал ClusterRole и ClusterRoleBinding.
2. HashiCorp Vault: Использовался для динамического RBAC. Например, для выдачи краткосрочных учетных данных к базе данных. Приложение аутентифицировалось в Vault через Kubernetes Service Account, а Vault, на основе настроенных политик, генерировал временный логин и пароль для БД.
3. Open Policy Agent (OPA) / Gatekeeper: Для расширения возможностей RBAC в Kubernetes. Создавал политики на языке Rego, которые запрещали развертывание контейнеров с последним тегом (:latest) или требовали наличия определенных лейблов у подов. Это обеспечивало compliance на уровне кластера.
4. AWS IAM: Для управления доступом к облачным ресурсам. Использовал IAM Roles для сервисов (например, для нод EKS или Lambda-функций) и IAM Policies, привязанные к пользователям или группам для доступа к консоли AWS и CLI.

Пример манифеста Kubernetes Role для доступа CI/CD:

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: staging
  name: ci-deployer
rules:
- apiGroups: ["", "apps"]
  resources: ["deployments", "pods", "configmaps"]
  verbs: ["get", "list", "watch", "create", "update", "patch"]