帳戶、憑證與權限

帳戶、憑證及授權決定請求使用的身分、存取的到期時間及允許的操作。

身分模型

概念	用途	終止時機
帳戶	代表存取身分的 Kubernetes ServiceAccount	撤銷帳戶時刪除
憑證	kubeconfig 中用於驗證請求的權杖	到期或所屬帳戶被撤銷
授權	透過既有 Role 或 ClusterRole 指派的權限	移除對應繫結時終止

一個帳戶可有多份憑證，所有有效憑證共用其權限。簽發新憑證不會取代舊有憑證，變更權限也不會延長到期時間。權杖到期後，帳戶及授權仍保留。

帳戶命名空間存放 ServiceAccount，預設為 kticket-users。目標命名空間限制授權範圍，可與帳戶命名空間不同。請使用專用帳戶命名空間。同名的既有 ServiceAccount 會被重用並納入 kticket 管理，因此也能被帳戶撤銷操作刪除。

例如，kticket-users 中的 alice 以 system:serviceaccount:kticket-users:alice 身分驗證。kubeconfig 的本機使用者別名不會改變此身分。

簽發會將所選授權加到既有權限。--access none 不新增授權，也不清除既有存取權。
RoleBinding 將權限限制在目標命名空間；ClusterRoleBinding 則授予整個叢集的存取權。kticket 使用既有角色，不建立自訂角色規則。
存取權編輯可新增、取代或移除受管理授權。YAML 設定描述所需的完整受管理授權集合。
Kubernetes RBAC 權限具有累加性。外部繫結及群組指派仍可提供存取權；kticket 將這些授權顯示為唯讀。

授權清單並非有效權限的完整清單。檢查特定操作時，請使用 TUI 授權檢查或 kticket access check。範例請參閱CLI 參考。

取代授權可能短暫中斷存取。若變更中途失敗，已完成的操作不會回復。請重新載入帳戶，確認新計畫後再套用；請參閱疑難排解。

kticket 不會自動讓授權到期、不會為同一帳戶的不同權杖設定個別權限，也不會單獨撤銷一個權杖。如需獨立權限或撤銷，請使用不同帳戶。

要求的有效期間預設為 24h，最短為 10m。API 伺服器可能調整實際期間。請以簽發結果顯示的到期時間為準。

收件者可直接用 kubectl 載入產生的 kubeconfig，無須安裝 kticket。檔案包含 Bearer 權杖：請妥善保護，並透過可信任管道分享。

kticket revoke 與 TUI 的撤銷操作會刪除 ServiceAccount 並清理其受管理繫結，影響該帳戶全部憑證。Kubernetes 再次驗證時會拒絕這些權杖。建立同名帳戶不會讓舊權杖恢復有效。

撤銷不會終止已建立的連線，也不會移除命名空間、共用角色、外部繫結或本機 kubeconfig 檔案。

若帳戶刪除成功但繫結清理失敗，重新建立帳戶前，請以管理員憑證檢查並移除殘留繫結，避免新帳戶繼承殘留權限。

執行 kticket list --credentials，或在 TUI 帳戶清單／存取權編輯器按 v，可查看憑證 ID、簽發與到期時間及可用的稽核 ID。

歷程僅涵蓋已記錄的憑證。缺少記錄不代表帳戶沒有有效權杖。「未到期」只描述時間戳記，不保證認證或授權會成功。刪除記錄不會撤銷其權杖。

叢集記錄相關 Kubernetes 稽核事件時，稽核 ID 可將簽發與後續請求關聯。能否關聯取決於叢集提供的稽核資訊。本機產生的憑證 ID 無法提供原生稽核關聯，也無法區分同一 kubeconfig 的不同複本。

所需權限取決於操作：

操作	所需存取權
簽發	讀取命名空間、角色、帳戶及繫結；建立缺少的帳戶命名空間與 ServiceAccount；更新帳戶標籤及註解；建立繫結；建立 `serviceaccounts/token`
列出	列出受管理 ServiceAccount、跨命名空間的 RoleBinding 與 ClusterRoleBinding；讀取指定的帳戶命名空間
撤銷	讀取並刪除受管理 ServiceAccount；列出並刪除符合條件的受管理繫結
管理授權	讀取帳戶、目標命名空間、角色與繫結；建立／刪除繫結並更新管理標籤
檢查授權	讀取帳戶及指定的目標命名空間；建立 `subjectaccessreviews.authorization.k8s.io`
TUI 候選建議	API 探索及相關物件的讀取／列出權限

Kubernetes RBAC 的繫結限制仍適用。伺服器端試執行也需要寫入權限。受限制的管理員角色必須涵蓋工作流程使用的操作及資源範圍。啟用產品授權不會授予 Kubernetes 管理員權限。