未启用Google Groups for RBAC，GKE RBAC组绑定为何仍生效？

核心原因是：GKE未启用Google Groups for RBAC时，仍会默认将Google Workspace的组身份传递给Kubernetes RBAC系统——Google Groups for RBAC的作用是提供组同步的细粒度控制，而非基础的组身份识别功能。

具体细节拆解：

• 当用户通过Google身份（包括从Azure同步到Workspace的组内用户）访问GKE集群时，GKE的认证组件会验证用户身份，并自动解析其所属的所有Google Workspace组，将这些组信息作为身份声明注入到Kubernetes的认证上下文。
• Google Groups for RBAC并非组身份传递的必要开关，它的核心价值是按需同步特定组、控制同步频率这类增强管理能力。不启用该功能时，GKE会默认同步用户所属的全部Workspace组到K8s身份系统。
• 你配置的RBAC绑定直接引用了该Workspace组，Kubernetes RBAC会识别用户身份声明中的组信息，匹配绑定规则后，组内用户自然获得对应权限。
• 项目级IAM的查看者角色不影响K8s RBAC权限：IAM是Google Cloud层面的权限体系，Kubernetes RBAC是集群内部的独立权限控制，两者互不限制。

内容的提问来源于stack exchange，提问作者user3060612