# TP17 partie 1 : identité et permissions minimales de l'application.
apiVersion: v1
kind: ServiceAccount
metadata:
  name: api-sa
  namespace: tp17
automountServiceAccountToken: false # l'API n'a pas besoin de parler au cluster
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: config-reader
  namespace: tp17
rules:
  # TODO : autoriser uniquement get/list/watch sur les configmaps du namespace
  - apiGroups: [""]
    resources: []
    verbs: []
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: api-sa-config-reader
  namespace: tp17
# TODO : subjects (le ServiceAccount api-sa) et roleRef (le Role config-reader)