K8s RBAC问题：ServiceAccount绑定Role后权限未生效排查

1. 核对Role的API组与资源配置 #

• 核心资源（如pods）对应的apiGroups是空字符串[""]，而非["apps"]或其他组，若写错会导致权限规则不匹配。
• 确保resources字段使用复数["pods"]，而非单数["pod"]，K8s资源名称统一为复数形式。
  正确的Role规则示例：

rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

2. 验证RoleBinding的Subjects配置准确性 #

• 确认RoleBinding的subjects字段中，kind为ServiceAccount，name为shopping-api，namespace为test-namespace，三个字段必须完全匹配，尤其是命名空间，写错会导致绑定到错误的ServiceAccount。
  正确的RoleBinding Subjects示例：

subjects:
- kind: ServiceAccount
  name: shopping-api
  namespace: test-namespace

3. 检查资源对象的命名空间一致性 #

• Role、RoleBinding、ServiceAccount必须同属test-namespace，Role是命名空间级资源，跨命名空间绑定无效（ClusterRoleBinding除外）。
  执行以下命令确认三者存在且命名空间正确：

kubectl get role,rolebinding,serviceaccount -n test-namespace

4. 修正kubectl auth can-i的身份参数 #

• ServiceAccount的完整身份格式为system:serviceaccount:<namespace>:<sa-name>，直接使用--as=shopping-api会被识别为普通用户，而非ServiceAccount。
  改用正确命令验证：

kubectl auth can-i list pods --as=system:serviceaccount:test-namespace:shopping-api -n test-namespace

5. 确认集群RBAC准入控制已启用 #

• 检查kind配置文件（kind-example-config.yaml），确保API Server启动参数包含--authorization-mode=RBAC，未启用RBAC的话所有规则都不会生效。
  也可通过以下命令查看API Server参数：

kubectl describe pod kube-apiserver-<cluster-name>-control-plane -n kube-system

确认--authorization-mode中包含RBAC。

6. 排查是否存在冲突的权限绑定 #

• 检查是否有其他ClusterRoleBinding或RoleBinding给该ServiceAccount设置了拒绝权限，或覆盖了当前Role的规则。
  执行以下命令排查冲突：

kubectl get clusterrolebinding | grep shopping-api
kubectl get rolebinding -n test-namespace | grep shopping-api

内容的提问来源于stack exchange，提问作者Black.Jack