限制Kubernetes服务帐户访问特定的名称空间

Question

我创建了一个服务帐户，其中包含默认的群集角色“视图”，这使得它可以使用视图权限访问我们的所有资源。

但我想添加一个限制，以使该服务帐户无法访问我们的名称空间之一。

知道我该如何实现吗？

BR，

蒂姆

Answer 1

Kubernetes只有两个权限范围：Cluster（ ClusterRole ）或Namespace（ Role ），并且没有办法将ClusterRole限制或排除到特定的命名空间。 如果要将ServiceAccount限制为特定的名称空间，则不能使用ClusterRole而必须在ServiceAccount应该有权访问的每个名称空间中使用Role 。

Answer 2

除了其他答案，使用Role ，还需要在RoleBinding上指定namespace 。 例如：

$ kubectl create rolebinding my-binding --role=myrole --user=myuser --namespace=mynamespace