kubernetes细粒度rbac控制依赖role/clusterrole、serviceaccount和rolebinding/clusterrolebinding协同；权限按命名空间或集群级划分，应遵循最小权限原则精确声明apigroups、resources和verbs，并通过rolebinding将权限绑定到serviceaccount等主体。
在 Kubernetes 中实现细粒度的 RBAC 权限控制，核心是围绕 Role（或 ClusterRole）、ServiceAccount、RoleBinding（或 ClusterRoleBinding）三者协同工作。用户不直接与 RBAC 对象绑定，而是通过 ServiceAccount（用于 Pod 内应用）或外部身份提供者（如 OIDC）映射到 Kubernetes 用户/组，再由 RoleBinding 授予对应权限。
明确权限作用域：Namespaced 还是集群级？
RBAC 权限分两种作用域：
-
Role + RoleBinding：仅对某一个命名空间内的资源生效（如只允许在
dev命名空间中读取 Pods） -
ClusterRole + ClusterRoleBinding：作用于整个集群（如查看所有节点状态、管理 CRD），也可配合
namespace字段在 RoleBinding 中复用 ClusterRole 实现跨命名空间授权
建议优先使用 Role/RoleBinding 满足最小权限原则；仅当确实需要集群视角操作时，才定义 ClusterRole。
定义最小权限的 Role 或 ClusterRole
避免使用 apiGroups: ["*"] 或 resources: ["*"]。应精确声明：
-
apiGroups：如
""（核心组，Pod/Service/ConfigMap 等）、"apps"（Deployment/StatefulSet）、"batch"（Job/CronJob） -
resources：指定资源类型，支持复数形式（
pods）和部分子资源（pods/log、pods/exec） -
verbs：如
get、list、create、update、delete、patch、watch
示例：仅允许在 staging 命名空间中查看 Pod 日志和 exec 进入容器：
kind: Role apiVersion: rbac.authorization.k8s.io/v1 metadata: namespace: staging name: pod-debugger rules: - apiGroups: [""] resources: ["pods/log"] verbs: ["get", "list"] - apiGroups: [""] resources: ["pods/exec"] verbs: ["create"]
将权限绑定到具体身份：RoleBinding 关键写法
RoleBinding 将 Role 与“主体”（Subject）关联。主体可以是：
-
ServiceAccount（最常用，用于工作负载）：
kind: ServiceAccount，name: my-app-sa，namespace: staging -
User（外部用户，需由 kubeconfig 或 OIDC 提供者传入用户名，如
alice@example.com） -
Group（用户组，如
system:authenticated或自定义组dev-team）
示例：把上面的 pod-debugger Role 绑定给 staging 下的 debug-sa：
kind: RoleBinding apiVersion: rbac.authorization.k8s.io/v1 metadata: namespace: staging name: debug-sa-binding subjects: - kind: ServiceAccount name: debug-sa namespace: staging roleRef: kind: Role name: pod-debugger apiGroup: rbac.authorization.k8s.io
验证与调试权限是否生效
权限配置后务必验证。常用方法：
- 用目标 ServiceAccount 的 token 获取 kubeconfig，或用
kubectl --as=system:serviceaccount:staging:debug-sa临时切换身份执行命令 - 运行
kubectl auth can-i list pods/log --namespace=staging --as=system:serviceaccount:staging:debug-sa查看是否被允许 - 检查拒绝日志：API Server 的 audit log 或
kubectl get events --field-selector reason=Forbidden - 注意：RoleBinding 必须与 Role 在同一命名空间；ClusterRoleBinding 可绑定到任意命名空间的 ServiceAccount，但不能绑定 User/Group 到非默认命名空间（除非显式指定）
不复杂但容易忽略。
