能否创建Kubernetes Role，使其仅能生成具备特定资源权限的子Role？

完全可以实现你的需求，具体配置和说明如下：

1. 创建具备创建Role权限的Role A #

Role A需要拥有对roles资源的创建权限，对应的YAML配置如下：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: role-a
  namespace: default # 替换为你实际使用的命名空间
rules:
- apiGroups: ["rbac.authorization.k8s.io"]
  resources: ["roles"]
  verbs: ["create"]

这个配置让Role A仅能在指定命名空间下创建新的Role资源，刚好满足你“拥有创建其他Role（X、Y、Z）权限”的要求。

2. 被创建的X/Y/Z Role的权限配置 #

所有需要创建的X、Y、Z Role，都需要限制为仅能对pods、deployments、secrets执行创建和删除操作，以下是Role X的示例配置：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: role-x
  namespace: default # 与Role A的命名空间保持一致
rules:
# 针对core组的pods和secrets资源
- apiGroups: [""]
  resources: ["pods", "secrets"]
  verbs: ["create", "delete"]
# 针对apps组的deployments资源
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["create", "delete"]

你可以复制这个模板，修改metadata.name来创建Role Y、Role Z等，确保它们的权限范围完全符合要求。

3. 绑定Role A到用户/服务账号 #

要让某个账号实际使用Role A的权限，需要创建RoleBinding将账号与Role A关联。比如绑定到一个ServiceAccount：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: bind-role-a
  namespace: default
subjects:
- kind: ServiceAccount
  name: sa-role-a
  namespace: default
roleRef:
  kind: Role
  name: role-a
  apiGroup: rbac.authorization.k8s.io

创建完成后，sa-role-a这个服务账号就可以在default命名空间下创建符合权限要求的X、Y、Z Role了。

额外说明 #

• Role是命名空间级资源，如果你需要跨命名空间管理Role，需要改用ClusterRole和ClusterRoleBinding，并调整对应的资源规则。
• 你可以用kubectl auth can-i命令验证权限是否生效，比如验证sa-role-a能否创建Role：

  kubectl auth can-i create roles --as=system:serviceaccount:default:sa-role-a -n default
  

内容的提问来源于stack exchange，提问作者Rayden Wins