Azure AKS集群Kubernetes RBAC无法访问Secrets问题排查

核心问题分析 #

1. 内置view ClusterRole不包含Secrets权限
   Kubernetes内置的view ClusterRole仅开放非敏感资源的查看权限（如Pods、Services、Deployments等），Secrets属于存储密码、令牌的敏感资源，默认不在view角色的权限范围内。你可以通过以下命令确认view角色的权限范围：

kubectl describe clusterrole view

输出中不会包含secrets相关的资源权限条目。

2. 权限验证命令格式错误
   你执行的kubectl auth can-i list namespaces/vnd-dev/secrets存在格式问题：namespaces是集群级资源，不能与命名空间内的secrets组合使用，导致命令解析错误，返回了不符合实际权限的yes结果。正确的权限验证命令应为：

kubectl auth can-i list secrets -n vnd-dev --as system:serviceaccount:vnd-dev:testaccess-user

执行后会返回no，这才是真实的权限状态。

解决方法 #

要让目标ServiceAccount获得Secrets的查看权限，需创建自定义权限并完成绑定，具体步骤如下：

1. 创建命名空间级自定义Role #

创建仅包含Secrets查看权限的Role，保存为secret-viewer-role.yaml：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: vnd-dev
  name: secret-viewer
rules:
- apiGroups: [""]  # 核心API组
  resources: ["secrets"]
  verbs: ["get", "list", "watch"]  # 授予查看、列表、监听权限

将该Role应用到集群：

kubectl apply -f secret-viewer-role.yaml -n vnd-dev

2. 绑定Role到目标ServiceAccount #

通过RoleBinding将自定义Role与testaccess-userServiceAccount关联：

kubectl create rolebinding testaccess-secret-viewer \
  --role=secret-viewer \
  --serviceaccount=vnd-dev:testaccess-user \
  --namespace=vnd-dev

3. 验证权限生效 #

再次执行正确的权限验证命令，确认权限已配置成功：

kubectl auth can-i list secrets -n vnd-dev --as system:serviceaccount:vnd-dev:testaccess-user

此时会返回yes，使用Postman测试GET {{KUBEAPI}}/api/v1/namespaces/vnd-dev/secrets即可正常访问。

扩展方案（跨命名空间场景） #

如果需要让该ServiceAccount在多个命名空间都能查看Secrets，可将Role改为ClusterRole，并使用ClusterRoleBinding绑定：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-wide-secret-viewer
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list", "watch"]

绑定命令：

kubectl create clusterrolebinding testaccess-cluster-secret-viewer \
  --clusterrole=cluster-wide-secret-viewer \
  --serviceaccount=vnd-dev:testaccess-user

内容的提问来源于stack exchange，提问作者Mark Rabjohn