Azure Kubernetes中如何让default命名空间的Jenkins Pod读取其他命名空间的Secret

这个错误指向很明确：你的Jenkins Pod使用的default:jenkinspod服务账号，没有权限在myapp命名空间读取Secret。咱们通过Kubernetes的RBAC（基于角色的访问控制）来配置权限就行，一步步来：

第一步：在myapp命名空间创建读取Secret的Role #

首先，我们需要定义一个角色，明确允许在myapp命名空间内执行Secret的读取操作。创建一个名为myapp-secret-reader.yaml的文件，内容如下：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: myapp
  name: myapp-secret-reader
rules:
- apiGroups: [""]  # Secret属于核心API组，这里留空即可
  resources: ["secrets"]
  verbs: ["get", "list"]  # 按需配置权限，这里允许获取和列出Secret

执行命令应用这个配置：

kubectl apply -f myapp-secret-reader.yaml

第二步：创建RoleBinding绑定权限到Jenkins的服务账号 #

接下来，把刚才创建的Role权限，绑定给default命名空间的jenkinspod服务账号。创建jenkins-secret-access.yaml文件：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: myapp
  name: jenkins-access-myapp-secrets
subjects:
- kind: ServiceAccount
  name: jenkinspod
  namespace: default  # 这里是Jenkins服务账号所在的命名空间
roleRef:
  kind: Role
  name: myapp-secret-reader
  apiGroup: rbac.authorization.k8s.io

同样执行命令应用配置：

kubectl apply -f jenkins-secret-access.yaml

验证权限是否生效 #

配置完成后，用下面的命令验证权限是否授予成功：

kubectl auth can-i get secrets -n myapp --as=system:serviceaccount:default:jenkinspod

如果返回yes，说明权限配置生效，你的Jenkins Pod现在就能正常读取myapp命名空间里的myapp-mongodb Secret了。

内容的提问来源于stack exchange，提问作者David Burgos