Kubernetes RBAC 权限速查

常用命令

kubectl auth can-i get pods -n app
kubectl auth can-i '*' '*' --all-namespaces
kubectl auth can-i --list -n app
kubectl auth can-i create deployments --as=system:serviceaccount:app:deployer -n app
kubectl auth can-i get secrets --as=alice -n app
kubectl get role,rolebinding -n app
kubectl get clusterrole,clusterrolebinding
kubectl describe role app-reader -n app
kubectl describe clusterrole view
kubectl get rolebinding app-reader -n app -o yaml
kubectl get sa -n app
kubectl create token deployer -n app
kubectl create role app-reader --verb=get,list,watch --resource=pods -n app --dry-run=client -o yaml
kubectl create rolebinding app-reader --role=app-reader --serviceaccount=app:deployer -n app --dry-run=client -o yaml

场景速查

易错点

• 错误：命名空间权限用 ClusterRoleBinding 绑定；正确：命名空间内优先 RoleBinding，全局权限才用 ClusterRoleBinding。
• 错误：只给 get 就想执行 kubectl get pods；正确：列表操作需要 list，watch 也是独立 verb。
• 错误：只授权 pods 却要读日志；正确：kubectl logs 需要 pods/log 子资源权限。
• 错误：只授权 pods 却要进入容器；正确：kubectl exec 需要 pods/exec 的 create 权限。
• 错误：apiGroups 到处写 *；正确：core 组写 ""，其它按实际 API group 填写。
• 错误：用 resourceNames 限制 list/watch；正确：它只对具名资源的 get、update、delete 等生效。
• 错误：Pod 用了错误的 ServiceAccount 却查 Role；正确：先确认 Pod 的 serviceAccountName 和令牌挂载。
• 错误：遇到 403 就绑 cluster-admin；正确：先用 auth can-i --list 和 describe rolebinding 定位缺口。
• 错误：--as 模拟失败就认为目标无权限；正确：执行者本身可能缺少 impersonate 权限。
• 错误：改了 Role 只检查 get；正确：按实际 verb（list、watch、子资源）逐项验证。

相关命令

• rbac — RBAC 资源与规则
• serviceaccount — 服务账号与令牌
• namespace — 命名空间隔离
• kubectl — auth can-i 等命令
• permission-denied — 权限拒绝排查

读完自测

1. Role 与 ClusterRole 的区别是什么？
2. kubectl logs 需要什么资源权限？
3. 如何验证某个 ServiceAccount 能否创建 Deployment？