Azure Kubernetes中ServiceAccount的RBAC权限绑定失效求助

你的核心问题是RoleBinding的Subject配置错误，导致权限没有绑定到目标ServiceAccount上。

错误原因 #

Kubernetes中，ServiceAccount对应的身份类型是ServiceAccount，而非你配置里的User：

• User类型用于匹配集群的外部用户（比如你的Azure AD用户）
• ServiceAccount的Subject必须指定kind: ServiceAccount，且需要明确其所在的命名空间（因为ServiceAccount是命名空间级资源）

你当前的RoleBinding会尝试把权限绑定到名为dummy-admin的普通用户上，而非你创建的jaiv命名空间下的dummy-admin ServiceAccount，这就解释了为什么执行命令时会提示system:serviceaccount:jaiv:dummy-admin无权限——这个ServiceAccount根本没有被授予任何权限。

修正后的配置 #

替换原RoleBinding部分为以下内容：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: exmple-binding
subjects:
  - kind: ServiceAccount
    name: dummy-admin
    namespace: jaiv  # 指定ServiceAccount所在的命名空间，必须与ServiceAccount的命名空间一致
roleRef:
  kind: Role
  name: example-role
  apiGroup: rbac.authorization.k8s.io

验证步骤 #

1. 应用修正后的配置：

   kubectl apply -f your-config-file.yaml
   

2. 重新进入Pod执行命令：

   kubectl exec -ti pod/kubectl -- /bin/bash
   kubectl get all
   

此时权限应该正常生效，能列出命名空间内的所有资源。

补充说明 #

启用Azure AD认证与使用集群内ServiceAccount是完全兼容的，两者的RBAC规则互不干扰：

• Azure AD用户通过集群的外部认证流程获取权限
• ServiceAccount通过集群内的RBAC规则直接授权，无需经过Azure AD认证

内容的提问来源于stack exchange，提问作者Bok