授权 API

LocalResourceAccessReview 是一种请求特定命名空间中哪些用户和组被授权执行 spec 中指定的动作的方法。

兼容性级别 1：在主要版本中稳定至少 12 个月或 3 个次要版本（以较长者为准）。

LocalSubjectAccessReview 是一个用于请求关于用户或组是否可以在特定命名空间中执行某个操作的信息的对象。

兼容性级别 1：在主要版本中稳定至少 12 个月或 3 个次要版本（以较长者为准）。

ResourceAccessReview 是一种请求哪些用户和组被授权执行 spec 中指定的动作的方法。

兼容性级别 1：在主要版本中稳定至少 12 个月或 3 个次要版本（以较长者为准）。

SelfSubjectRulesReview 是一种您可以创建的资源，用于确定您可以在命名空间中执行哪些操作。

兼容性级别 1：在主要版本中稳定至少 12 个月或 3 个次要版本（以较长者为准）。

SubjectAccessReview 是一个用于请求关于用户或组是否可以执行某个操作的信息的对象。

兼容性级别 1：在主要版本中稳定至少 12 个月或 3 个次要版本（以较长者为准）。

SubjectRulesReview 是一种您可以创建的资源，用于确定另一个用户可以在命名空间中执行哪些操作。

兼容性级别 1：在主要版本中稳定至少 12 个月或 3 个次要版本（以较长者为准）。

SelfSubjectReview 包含 kube-apiserver 关于发出此请求的用户的信息。使用模拟时，用户将收到被模拟用户的用户信息。如果使用模拟或请求头身份验证，任何额外的键都将忽略其大小写并以小写形式返回。

TokenRequest 请求给定服务帐户的令牌。

TokenReview 尝试将令牌验证到已知用户。注意：TokenReview 请求可能会被 kube-apiserver 中的 webhook 令牌身份验证插件缓存。

LocalSubjectAccessReview 检查用户或组是否可以在给定命名空间中执行某个操作。拥有命名空间范围的资源使得授予包含权限检查的命名空间范围策略更加容易。

SelfSubjectAccessReview 检查当前用户是否可以执行某个操作。不填写 spec.namespace 表示“在所有命名空间中”。Self 是一个特殊情况，因为用户应该始终能够检查他们是否可以执行某个操作。

SelfSubjectRulesReview 枚举当前用户可以在命名空间内执行的一组操作。返回的操作列表可能不完整，具体取决于服务器的授权模式以及评估期间遇到的任何错误。SelfSubjectRulesReview 应由 UI 用于显示/隐藏操作，或快速让最终用户了解其权限。它不应被外部系统用于驱动授权决策，因为这会引发混淆代理、缓存生命周期/撤销和正确性问题。SubjectAccessReview 和 LocalAccessReview 是将授权决策推迟到 API 服务器的正确方法。

SubjectAccessReview 检查用户或组是否可以执行某个操作。