Kubernetes RoleBinding能否引用其他Namespace中的Subject？

你遇到的问题是跨Namespace引用ServiceAccount的RoleBinding未生效，核心原因是Role规则中指定的资源名称错误，Kubernetes的API资源名称需要使用复数形式。

问题定位 #

你的Role定义里，resources字段写的是["secret"]，但Kubernetes中Secret资源的正确名称是复数形式secrets。这个拼写错误导致权限规则无法匹配，所以授权不生效。

修正后的配置 #

修改Role的rules部分，将resources改为["secrets"]：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: test-secret-reader
  namespace: namespace2
rules:
- apiGroups: [""]
  resources: ["secrets"]  # 改为复数形式
  verbs: ["get"]

验证效果 #

重新应用Role配置后，再执行测试命令：

kubectl auth can-i get secret -n namespace2 --as system:serviceaccount:namespace1:test-sa

此时会返回yes，说明授权生效。

补充说明 #

RoleBinding确实支持引用其他Namespace的ServiceAccount作为Subject，只要Role规则正确，跨Namespace的主体授权是可以正常工作的。需要注意：

• Kubernetes API资源名称大多使用复数形式（比如pods、services、secrets等）
• Role是命名空间作用域的，仅能授予当前Namespace内的资源权限；如果需要跨Namespace授权，应该使用ClusterRole结合ClusterRoleBinding，但如果只是授予单个Namespace的权限，使用Role+RoleBinding（跨Namespace主体）是可行的。

内容的提问来源于stack exchange，提问作者draganHR