Permisos requeridos

El chart público separa los permisos por agente de forma intencional. Discovery y Node Agent son de solo lectura desde la perspectiva de la API de Kubernetes. Scaling necesita permisos de mutación para HPAs y para algunos cambios de replicas en Deployments.

Alcance RBAC del Discovery Agent

El chart actual entrega al Discovery Agent:

• get, list, watch sobre namespaces
• get, list, watch sobre nodes
• get, list, watch sobre pods y pods/log
• get, list, watch sobre services
• get, list, watch sobre configmaps
• get, list, watch sobre secrets
• get, list, watch sobre events
• get, list, watch sobre deployments y replicasets
• get, list, watch sobre horizontalpodautoscalers
• get, list, watch sobre jobs y cronjobs
• get, list, watch sobre ingresses y networkpolicies
• get, list, watch sobre algunos objetos RBAC
• get, list, watch, create, update, patch sobre leases para leader election

Por que existe acceso a pods/log

El Discovery Agent lee logs de pods fallidos de Jobs para que Moonin pueda adjuntar contexto de falla al historial de ejecuciones de CronJobs. No archiva logs completos del cluster.

Alcance RBAC del Scaling Rules Agent

El chart actual entrega al Scaling Rules Agent:

• get, list, watch sobre pods
• get, list, watch, update, patch sobre deployments
• get, list, watch, create, update, patch, delete sobre horizontalpodautoscalers

Por que necesita mutar Deployments

El Scaling Rules Agent puede subir o restaurar replicas del Deployment mientras aplica o revierte una ventana de scaling basada en HPA. Así mantiene el workload alineado con el mínimo solicitado o con el baseline guardado.

Alcance RBAC de Node Agent

Node Agent lee contexto de Kubernetes para asociar la telemetria runtime observada desde el host con los workloads. El chart actual le otorga get y list sobre:

• pods, services y endpoints
• endpointslices
• jobs
• replicasets

Node Agent también requiere acceso privilegiado al host para su recolección basada en eBPF. Revisa Node Agent para los requisitos completos de acceso al host.

Límites de permisos

• Discovery no necesita permisos para mutar workloads.
• Node Agent no muta recursos de Kubernetes.
• Scaling no necesita permisos amplios de inventario más allá de los recursos involucrados en la ejecución del HPA.
• El chart es la fuente de verdad recomendada para RBAC porque los permisos exactos dependen del comportamiento soportado por la versión actual de los agentes.

Validación práctica después de instalar

Después de instalar el chart, valida ambos sets de permisos confirmando que:

• namespaces y Deployments aparezcan en Moonin
• snapshots de nodos y ejecuciones de CronJobs se poblen correctamente
• los scaling templates puedan aplicar y revertir sin errores Forbidden sobre HPAs o Deployments