Kubernetes绑定ClusterRole和Role到ServiceAccount后仅集群角色权限生效问题

你将ClusterRole和Role绑定至ServiceAccount后，仅ClusterRole的权限生效，Role中定义的configmaps、secrets权限未在权限检查结果中体现，核心原因是Role与ClusterRole重名，导致RoleBinding关联出错。

问题根源 #

你的ClusterRole和Role名称均为par-chart-manager-role：

• ClusterRole是集群级资源，名称全局唯一
• Role是命名空间级资源，仅在par命名空间内唯一

尽管Kubernetes允许同名，但当RoleBinding的roleRef.name指向该名称时，系统会优先匹配集群级的ClusterRole，而非你定义的命名空间内Role，最终导致Role的权限未被正确关联。

验证方式 #

执行以下命令查看RoleBinding实际关联的角色：

kubectl describe rolebinding par-chart-manager-rolebinding -n par

查看输出的RoleRef字段，会发现它关联的是ClusterRole而非目标Role。

修复步骤 #

1. 重命名Role，避免与ClusterRole冲突，例如改为par-chart-namespace-manager-role：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  annotations:
    meta.helm.sh/release-name: par
    meta.helm.sh/release-namespace: par
  labels:
    app.kubernetes.io/instance: par
    app.kubernetes.io/managed-by: Helm
    app.kubernetes.io/name: chart
    app.kubernetes.io/version: 0.1.0
    helm.sh/chart: chart-0.1.0
  name: par-chart-namespace-manager-role  # 修改此处名称
  namespace: par
rules:
- apiGroups:
  - ""
  resources:
  - configmaps
  - secrets
  verbs:
  - get
  - list
  - patch
  - update
  - watch

2. 更新RoleBinding的roleRef，指向新的Role名称：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  annotations:
    meta.helm.sh/release-name: par
    meta.helm.sh/release-namespace: par
  labels:
    app.kubernetes.io/component: rbac
    app.kubernetes.io/created-by: par
    app.kubernetes.io/instance: par
    app.kubernetes.io/managed-by: Helm
    app.kubernetes.io/name: chart
    app.kubernetes.io/part-of: par
    app.kubernetes.io/version: 0.1.0
    helm.sh/chart: chart-0.1.0
  name: par-chart-manager-rolebinding
  namespace: par
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: par-chart-namespace-manager-role  # 匹配新的Role名称
subjects:
- kind: ServiceAccount
  name: par-chart-controller-manager
  namespace: par

3. 重新应用配置：

kubectl apply -f role.yaml -n par
kubectl apply -f rolebinding.yaml -n par

4. 验证权限：

kubectl auth can-i --list --as=system:serviceaccount:par:par-chart-controller-manager

此时会看到configmaps和secrets的权限已出现在结果中。

额外建议 #

• 为集群级和命名空间级角色设置差异化命名规则，例如ClusterRole后缀用-cluster-role，Role后缀用-namespace-role，避免名称冲突
• 使用单资源权限验证命令精准排查问题，例如：

kubectl auth can-i get configmaps -n par --as=system:serviceaccount:par:par-chart-controller-manager

内容的提问来源于stack exchange，提问作者jmcgrath207