如何为Kubernetes服务账号配置集群级权限？解决权限禁止错误

你的错误提示明确显示权限请求是集群范围（cluster scope）的，但你配置的Role和RoleBinding是命名空间级别的权限控制，无法授予集群级别的资源访问权限，因此需要改用ClusterRole和ClusterRoleBinding来绑定你的ServiceAccount。

针对ServiceAccount的ClusterRoleBinding配置需要修改subjects部分的类型和参数，具体示例如下（以绑定内置view ClusterRole为例，该角色包含大部分资源的只读权限）：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: svcaccount-cluster-view
subjects:
- kind: ServiceAccount
  name: svcaccount  # 你的ServiceAccount名称
  namespace: default  # ServiceAccount所在的命名空间
roleRef:
  kind: ClusterRole
  name: view  # 内置的只读集群角色，可根据需求替换为其他ClusterRole
  apiGroup: rbac.authorization.k8s.io

关键修改点说明 #

• 将subjects的kind从Group改为ServiceAccount
• 指定ServiceAccount的name和所在的namespace（必填，因为ServiceAccount是命名空间级资源）
• 通过roleRef绑定对应的ClusterRole：如果需要更精细的权限，你可以自定义ClusterRole来包含错误提示中缺失的资源权限（比如replicationcontrollers、daemonsets等的list权限）

应用配置并验证 #

1. 将上述配置保存为cluster-role-binding.yaml，执行命令应用：

kubectl apply -f cluster-role-binding.yaml

2. 重新执行命令验证：

kubectl get all

如果只需要特定命名空间的权限，而不是集群范围，你需要确保执行kubectl get all时指定命名空间（kubectl get all -n <你的命名空间>），同时检查你的Role是否包含了对应命名空间下所有需要的资源权限，RoleBinding是否正确绑定到目标ServiceAccount。

内容的提问来源于stack exchange，提问作者Richard Rublev