如何创建ClusterRoleBinding使Coder的ServiceAccount具备Namespace创建权限？

错误提示的是system:serviceaccount:coder:coder服务账号没有集群级创建Namespace的权限，你的配置存在两个核心问题：

1. 使用了RoleBinding：它仅能授予单个命名空间内的权限，而Namespace属于集群级资源，必须使用ClusterRoleBinding来绑定权限。
2. 绑定主体错误：你指定的绑定主体是User: coder，但实际发起请求的是system:serviceaccount:coder:coder这个服务账号，需要将权限绑定到ServiceAccount而非User。

1. 精准定义ClusterRole（可替换你原有的ClusterRole） #

无需给所有资源授权，仅针对Namespace相关权限配置即可：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: coder-manage-namespaces
rules:
- apiGroups: [""]
  resources: ["namespaces"]
  verbs: ["get", "list", "watch", "create", "delete"]

2. 创建ClusterRoleBinding（核心配置） #

将上面的ClusterRole绑定到coder命名空间下的coder服务账号：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: coder-manage-namespaces
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: coder-manage-namespaces
subjects:
- kind: ServiceAccount
  name: coder
  namespace: coder

1. 执行以下命令让配置生效：

kubectl apply -f clusterrole.yaml
kubectl apply -f clusterrolebinding.yaml

2. 验证权限是否配置成功：

kubectl auth can-i create namespaces --as=system:serviceaccount:coder:coder

若返回yes，则权限配置正确。此时再尝试创建Coder工作区，权限错误即可解决。

内容的提问来源于stack exchange，提问作者PrestonDocks