基于Kubebuilder的Kubernetes Operator如何获取自定义资源创建者角色？

一、获取Custom Resource的创建者信息 #

• 显式标注（简易但依赖用户）：要求用户创建CR时，在metadata.annotations或labels中添加创建者标识，比如yourdomain.io/created-by: alice。但这种方式不够强制，存在遗漏风险。
• 解析managedFields（自动可靠）：Kubernetes会自动记录资源操作的主体信息，遍历CR的metadata.managedFields数组，找到对应创建操作的条目，从中提取userInfo里的用户名或UID：

  import (
      "fmt"
      metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
  )
  
  func getCreator(meta metav1.ObjectMeta) (string, error) {
      for _, mf := range meta.ManagedFields {
          // 创建操作通常对应Apply或Update类型
          if mf.Operation == metav1.ManagedFieldsOperationApply || mf.Operation == metav1.ManagedFieldsOperationUpdate {
              if mf.UserInfo.Username != "" {
                  return mf.UserInfo.Username, nil
              }
              // 若为ServiceAccount，UID也可作为身份标识
              if mf.UserInfo.UID != "" {
                  return mf.UserInfo.UID, nil
              }
          }
      }
      return "", fmt.Errorf("无法找到创建者信息")
  }
  

• Admission Webhook注入（强制可靠）：在CR被持久化到ETCD前，通过Mutating Admission Webhook自动把请求中的userInfo注入到CR的annotations里。比如在webhook逻辑中添加：

  cr.SetAnnotations(map[string]string{"yourdomain.io/created-by": request.UserInfo.Username})
  

二、校验用户的资源操作权限 #

拿到创建者身份后，直接用Kubernetes的SubjectAccessReview API校验权限，无需手动解析角色绑定：

import (
    "context"
    metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
    "k8s.io/api/authorization/v1"
    "k8s.io/client-go/kubernetes"
)

func hasCreatePermission(clientset kubernetes.Interface, username, namespace, resource string) (bool, error) {
    sarReq := &v1.SubjectAccessReview{
        Spec: v1.SubjectAccessReviewSpec{
            User: username,
            ResourceAttributes: &v1.ResourceAttributes{
                Namespace: namespace,
                Verb:      "create",
                Resource:  resource, // 比如"deployments"、"services"
            },
        },
    }

    sarResp, err := clientset.AuthorizationV1().SubjectAccessReviews().Create(context.TODO(), sarReq, metav1.CreateOptions{})
    if err != nil {
        return false, err
    }
    return sarResp.Status.Allowed, nil
}

如果创建者是ServiceAccount，用户名格式为system:serviceaccount:<namespace>:<sa-name>，直接传入即可完成权限校验。

三、Kubebuilder控制器中的整合流程 #

在Reconcile函数里按以下步骤执行：

1. 提取CR的创建者信息：优先读取webhook注入的annotations，若没有则解析managedFields。
2. 调用hasCreatePermission校验用户是否有权限创建目标资源（比如Deployment）。
3. 权限通过则执行资源创建逻辑；不通过则更新CR的status字段提示权限不足，终止后续流程。

内容的提问来源于stack exchange，提问作者subtleseeker