cmd/bpa-operator/vendor/k8s.io/api/rbac/v1beta1/types.go

   1 /*
   2 Copyright 2017 The Kubernetes Authors.
   3
   4 Licensed under the Apache License, Version 2.0 (the "License");
   5 you may not use this file except in compliance with the License.
   6 You may obtain a copy of the License at
   7
   8     http://www.apache.org/licenses/LICENSE-2.0
   9
  10 Unless required by applicable law or agreed to in writing, software
  11 distributed under the License is distributed on an "AS IS" BASIS,
  12 WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13 See the License for the specific language governing permissions and
  14 limitations under the License.
  15 */
  16
  17 package v1beta1
  18
  19 import (
  20         metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
  21 )
  22
  23 // Authorization is calculated against
  24 // 1. evaluation of ClusterRoleBindings - short circuit on match
  25 // 2. evaluation of RoleBindings in the namespace requested - short circuit on match
  26 // 3. deny by default
  27
  28 const (
  29         APIGroupAll    = "*"
  30         ResourceAll    = "*"
  31         VerbAll        = "*"
  32         NonResourceAll = "*"
  33
  34         GroupKind          = "Group"
  35         ServiceAccountKind = "ServiceAccount"
  36         UserKind           = "User"
  37
  38         // AutoUpdateAnnotationKey is the name of an annotation which prevents reconciliation if set to "false"
  39         AutoUpdateAnnotationKey = "rbac.authorization.kubernetes.io/autoupdate"
  40 )
  41
  42 // Authorization is calculated against
  43 // 1. evaluation of ClusterRoleBindings - short circuit on match
  44 // 2. evaluation of RoleBindings in the namespace requested - short circuit on match
  45 // 3. deny by default
  46
  47 // PolicyRule holds information that describes a policy rule, but does not contain information
  48 // about who the rule applies to or which namespace the rule applies to.
  49 type PolicyRule struct {
  50         // Verbs is a list of Verbs that apply to ALL the ResourceKinds and AttributeRestrictions contained in this rule.  VerbAll represents all kinds.
  51         Verbs []string `json:"verbs" protobuf:"bytes,1,rep,name=verbs"`
  52
  53         // APIGroups is the name of the APIGroup that contains the resources.  If multiple API groups are specified, any action requested against one of
  54         // the enumerated resources in any API group will be allowed.
  55         // +optional
  56         APIGroups []string `json:"apiGroups,omitempty" protobuf:"bytes,2,rep,name=apiGroups"`
  57         // Resources is a list of resources this rule applies to.  '*' represents all resources in the specified apiGroups.
  58         // '*/foo' represents the subresource 'foo' for all resources in the specified apiGroups.
  59         // +optional
  60         Resources []string `json:"resources,omitempty" protobuf:"bytes,3,rep,name=resources"`
  61         // ResourceNames is an optional white list of names that the rule applies to.  An empty set means that everything is allowed.
  62         // +optional
  63         ResourceNames []string `json:"resourceNames,omitempty" protobuf:"bytes,4,rep,name=resourceNames"`
  64
  65         // NonResourceURLs is a set of partial urls that a user should have access to.  *s are allowed, but only as the full, final step in the path
  66         // Since non-resource URLs are not namespaced, this field is only applicable for ClusterRoles referenced from a ClusterRoleBinding.
  67         // Rules can either apply to API resources (such as "pods" or "secrets") or non-resource URL paths (such as "/api"),  but not both.
  68         // +optional
  69         NonResourceURLs []string `json:"nonResourceURLs,omitempty" protobuf:"bytes,5,rep,name=nonResourceURLs"`
  70 }
  71
  72 // Subject contains a reference to the object or user identities a role binding applies to.  This can either hold a direct API object reference,
  73 // or a value for non-objects such as user and group names.
  74 type Subject struct {
  75         // Kind of object being referenced. Values defined by this API group are "User", "Group", and "ServiceAccount".
  76         // If the Authorizer does not recognized the kind value, the Authorizer should report an error.
  77         Kind string `json:"kind" protobuf:"bytes,1,opt,name=kind"`
  78         // APIGroup holds the API group of the referenced subject.
  79         // Defaults to "" for ServiceAccount subjects.
  80         // Defaults to "rbac.authorization.k8s.io" for User and Group subjects.
  81         // +optional
  82         APIGroup string `json:"apiGroup,omitempty" protobuf:"bytes,2,opt.name=apiGroup"`
  83         // Name of the object being referenced.
  84         Name string `json:"name" protobuf:"bytes,3,opt,name=name"`
  85         // Namespace of the referenced object.  If the object kind is non-namespace, such as "User" or "Group", and this value is not empty
  86         // the Authorizer should report an error.
  87         // +optional
  88         Namespace string `json:"namespace,omitempty" protobuf:"bytes,4,opt,name=namespace"`
  89 }
  90
  91 // RoleRef contains information that points to the role being used
  92 type RoleRef struct {
  93         // APIGroup is the group for the resource being referenced
  94         APIGroup string `json:"apiGroup" protobuf:"bytes,1,opt,name=apiGroup"`
  95         // Kind is the type of resource being referenced
  96         Kind string `json:"kind" protobuf:"bytes,2,opt,name=kind"`
  97         // Name is the name of resource being referenced
  98         Name string `json:"name" protobuf:"bytes,3,opt,name=name"`
  99 }
 100
 101 // +genclient
 102 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 103
 104 // Role is a namespaced, logical grouping of PolicyRules that can be referenced as a unit by a RoleBinding.
 105 type Role struct {
 106         metav1.TypeMeta `json:",inline"`
 107         // Standard object's metadata.
 108         // +optional
 109         metav1.ObjectMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 110
 111         // Rules holds all the PolicyRules for this Role
 112         Rules []PolicyRule `json:"rules" protobuf:"bytes,2,rep,name=rules"`
 113 }
 114
 115 // +genclient
 116 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 117
 118 // RoleBinding references a role, but does not contain it.  It can reference a Role in the same namespace or a ClusterRole in the global namespace.
 119 // It adds who information via Subjects and namespace information by which namespace it exists in.  RoleBindings in a given
 120 // namespace only have effect in that namespace.
 121 type RoleBinding struct {
 122         metav1.TypeMeta `json:",inline"`
 123         // Standard object's metadata.
 124         // +optional
 125         metav1.ObjectMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 126
 127         // Subjects holds references to the objects the role applies to.
 128         // +optional
 129         Subjects []Subject `json:"subjects,omitempty" protobuf:"bytes,2,rep,name=subjects"`
 130
 131         // RoleRef can reference a Role in the current namespace or a ClusterRole in the global namespace.
 132         // If the RoleRef cannot be resolved, the Authorizer must return an error.
 133         RoleRef RoleRef `json:"roleRef" protobuf:"bytes,3,opt,name=roleRef"`
 134 }
 135
 136 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 137
 138 // RoleBindingList is a collection of RoleBindings
 139 type RoleBindingList struct {
 140         metav1.TypeMeta `json:",inline"`
 141         // Standard object's metadata.
 142         // +optional
 143         metav1.ListMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 144
 145         // Items is a list of RoleBindings
 146         Items []RoleBinding `json:"items" protobuf:"bytes,2,rep,name=items"`
 147 }
 148
 149 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 150
 151 // RoleList is a collection of Roles
 152 type RoleList struct {
 153         metav1.TypeMeta `json:",inline"`
 154         // Standard object's metadata.
 155         // +optional
 156         metav1.ListMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 157
 158         // Items is a list of Roles
 159         Items []Role `json:"items" protobuf:"bytes,2,rep,name=items"`
 160 }
 161
 162 // +genclient
 163 // +genclient:nonNamespaced
 164 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 165
 166 // ClusterRole is a cluster level, logical grouping of PolicyRules that can be referenced as a unit by a RoleBinding or ClusterRoleBinding.
 167 type ClusterRole struct {
 168         metav1.TypeMeta `json:",inline"`
 169         // Standard object's metadata.
 170         // +optional
 171         metav1.ObjectMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 172
 173         // Rules holds all the PolicyRules for this ClusterRole
 174         Rules []PolicyRule `json:"rules" protobuf:"bytes,2,rep,name=rules"`
 175         // AggregationRule is an optional field that describes how to build the Rules for this ClusterRole.
 176         // If AggregationRule is set, then the Rules are controller managed and direct changes to Rules will be
 177         // stomped by the controller.
 178         // +optional
 179         AggregationRule *AggregationRule `json:"aggregationRule,omitempty" protobuf:"bytes,3,opt,name=aggregationRule"`
 180 }
 181
 182 // AggregationRule describes how to locate ClusterRoles to aggregate into the ClusterRole
 183 type AggregationRule struct {
 184         // ClusterRoleSelectors holds a list of selectors which will be used to find ClusterRoles and create the rules.
 185         // If any of the selectors match, then the ClusterRole's permissions will be added
 186         // +optional
 187         ClusterRoleSelectors []metav1.LabelSelector `json:"clusterRoleSelectors,omitempty" protobuf:"bytes,1,rep,name=clusterRoleSelectors"`
 188 }
 189
 190 // +genclient
 191 // +genclient:nonNamespaced
 192 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 193
 194 // ClusterRoleBinding references a ClusterRole, but not contain it.  It can reference a ClusterRole in the global namespace,
 195 // and adds who information via Subject.
 196 type ClusterRoleBinding struct {
 197         metav1.TypeMeta `json:",inline"`
 198         // Standard object's metadata.
 199         // +optional
 200         metav1.ObjectMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 201
 202         // Subjects holds references to the objects the role applies to.
 203         // +optional
 204         Subjects []Subject `json:"subjects,omitempty" protobuf:"bytes,2,rep,name=subjects"`
 205
 206         // RoleRef can only reference a ClusterRole in the global namespace.
 207         // If the RoleRef cannot be resolved, the Authorizer must return an error.
 208         RoleRef RoleRef `json:"roleRef" protobuf:"bytes,3,opt,name=roleRef"`
 209 }
 210
 211 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 212
 213 // ClusterRoleBindingList is a collection of ClusterRoleBindings
 214 type ClusterRoleBindingList struct {
 215         metav1.TypeMeta `json:",inline"`
 216         // Standard object's metadata.
 217         // +optional
 218         metav1.ListMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 219
 220         // Items is a list of ClusterRoleBindings
 221         Items []ClusterRoleBinding `json:"items" protobuf:"bytes,2,rep,name=items"`
 222 }
 223
 224 // +k8s:deepcopy-gen:interfaces=k8s.io/apimachinery/pkg/runtime.Object
 225
 226 // ClusterRoleList is a collection of ClusterRoles
 227 type ClusterRoleList struct {
 228         metav1.TypeMeta `json:",inline"`
 229         // Standard object's metadata.
 230         // +optional
 231         metav1.ListMeta `json:"metadata,omitempty" protobuf:"bytes,1,opt,name=metadata"`
 232
 233         // Items is a list of ClusterRoles
 234         Items []ClusterRole `json:"items" protobuf:"bytes,2,rep,name=items"`
 235 }