K8s跨Namespace查看Pod日志权限问题排查求助

你当前使用的RoleBinding仅作用于jenkins命名空间，仅能让jenkins:default服务账号操作该命名空间内的Pod资源，无法访问其他命名空间（如anothernamespace）的资源，这是导致权限拒绝的核心原因。

提供两种适配不同场景的配置方案：

方案1：集群级绑定（适用于需要访问多命名空间的场景） #

将原有的RoleBinding替换为ClusterRoleBinding，这样服务账号在整个集群的所有命名空间都拥有指定权限：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: asgina-lista-recursos-cluster
subjects:
  - kind: ServiceAccount
    name: default
    namespace: jenkins
roleRef:
  kind: ClusterRole
  name: listar-recursos
  apiGroup: rbac.authorization.k8s.io

执行以下命令生效：

kubectl delete rolebinding asgina-lista-recursos -n jenkins
kubectl apply -f <上述yaml文件路径>

方案2：目标命名空间绑定（仅需访问特定命名空间的场景） #

如果只需要访问anothernamespace，在该命名空间下创建RoleBinding，绑定现有ClusterRole和jenkins的服务账号：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: asgina-lista-recursos-anothernamespace
  namespace: anothernamespace
subjects:
  - kind: ServiceAccount
    name: default
    namespace: jenkins
roleRef:
  kind: ClusterRole
  name: listar-recursos
  apiGroup: rbac.authorization.k8s.io

执行命令生效：

kubectl apply -f <上述yaml文件路径>

配置完成后，执行以下命令验证权限是否生效：

kubectl auth can-i list pods/log -n anothernamespace --as=system:serviceaccount:jenkins:default

返回yes即可正常执行kubectl logs命令。

内容的提问来源于stack exchange，提问作者david.perez