Service Configuration Question #019e3a4f

O valor padrão para a flag --authorization-mode no servidor da API Kubernetes é AlwaysAllow. Isso significa que, por padrão, todas as requisições ao servidor da API são permitidas sem nenhuma verificação de autorização. Esta é uma configuração permissiva destinada a ambientes de desenvolvimento ou teste, mas não é recomendada para uso em produção.

Como Funciona

A flag --authorization-mode determina como o servidor da API autoriza requisições. Os modos disponíveis incluem:

• AlwaysAllow: Permite todas as requisições (padrão).
• AlwaysDeny: Nega todas as requisições.
• ABAC (Attribute-Based Access Control): Usa políticas definidas em um arquivo.
• RBAC (Role-Based Access Control): Usa papéis e vínculos de papéis.
• Webhook: Delega a autorização a um serviço HTTP externo.
• Node: Modo especial para autorizar requisições do kubelet.

Quando nenhum --authorization-mode é especificado, o servidor da API usa AlwaysAllow como padrão. Isso pode ser verificado consultando a saída de ajuda ou a documentação do servidor da API.

Por que o Valor Correto está Certo

O modo AlwaysAllow é o padrão porque fornece a configuração mais simples para começar com Kubernetes. Ele permite todas as requisições sem exigir nenhuma configuração de políticas de autorização. No entanto, para clusters de produção, é fortemente recomendado habilitar RBAC ou outro modo de autorização para reforçar a segurança.

Por que os Valores Incorretos estão Errados

• --authorization-mode=RBAC: RBAC não é o padrão; deve ser explicitamente habilitado definindo a flag como RBAC. É uma escolha comum para produção, mas não é o padrão.
• --authorization-mode=AlwaysDeny: Este modo nega todas as requisições, o que tornaria o cluster inutilizável a menos que combinado com outros modos. Não é o padrão.
• --authorization-mode=ABAC: ABAC é um modo de autorização mais antigo que requer um arquivo de política. Não é o padrão e é menos usado que RBAC.

Em resumo, o modo de autorização padrão é AlwaysAllow, que é permissivo e deve ser alterado para ambientes de produção.