K8s中如何限制集群级控制器仅访问特定命名空间资源？

问题原因 #

你在Kubebuilder的RBAC标记里添加namespace=secret-namespace时，工具会生成命名空间级的Role，但集群级控制器的权限绑定依赖ClusterRoleBinding——而Kubernetes规定ClusterRoleBinding只能引用ClusterRole，无法关联命名空间内的Role。这就导致控制器的ServiceAccount无法获取指定命名空间的Secret操作权限，RBAC检查时直接报错“无集群级权限”。

如果移除namespace参数，Kubebuilder会生成集群级ClusterRole，通过ClusterRoleBinding绑定后，控制器就拥有了所有命名空间的Secrets权限，因此可以正常运行，但这不符合你“仅访问特定命名空间”的需求。

解决方案 #

要实现集群级控制器仅访问指定命名空间的资源，按以下步骤操作：

1. 保留不带namespace参数的RBAC标记，让Kubebuilder生成ClusterRole（定义Secrets的操作权限）：

   //+kubebuilder:rbac:groups="",resources=secrets,verbs=get;list;watch
   

2. 删除自动生成的ClusterRoleBinding，转而在**目标命名空间（secret-namespace）**创建RoleBinding，将控制器的ServiceAccount绑定到上述ClusterRole。示例YAML如下：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: controller-secret-access
     namespace: secret-namespace
   subjects:
   - kind: ServiceAccount
     name: your-controller-sa
     namespace: controller-namespace  # 控制器ServiceAccount所在的命名空间
   roleRef:
     kind: ClusterRole
     name: your-controller-clusterrole  # Kubebuilder生成的ClusterRole名称
     apiGroup: rbac.authorization.k8s.io
   

这样配置后，控制器的ServiceAccount仅在secret-namespace内拥有Secrets的操作权限，同时控制器本身保持集群级范围，可监听所有命名空间的自定义资源。

如果希望完全通过Kubebuilder管理RBAC资源，可直接修改config/rbac目录下生成的YAML，将ClusterRoleBinding替换为目标命名空间的RoleBinding，或添加额外的RoleBinding配置。

内容的提问来源于stack exchange，提问作者Brotchu