如何配置RBAC让指定用户仅能访问OpenShift项目中单个Pod？

问题分析 #

你遇到的权限禁止错误，是因为自定义Role未正确配置pods/exec子资源权限，且无需使用ClusterRole（权限仅限定在单个项目内，Role即可满足需求）。以下是精准的配置步骤：

1. 创建限定单个Pod exec权限的自定义Role #

在目标项目下创建仅允许对指定Pod执行oc exec的Role，YAML示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: pod-specific-exec
  namespace: <你的项目名称>
rules:
- apiGroups: [""]  # Pod属于K8s核心API组，必须指定为空字符串
  resources: ["pods/exec"]  # 明确指定exec子资源
  verbs: ["create"]  # oc exec操作对应create权限
  resourceNames: ["<目标Pod名称>"]  # 限定仅允许操作该Pod

执行创建命令：

oc apply -f pod-exec-role.yaml -n <你的项目名称>

2. 将Role绑定到目标用户 #

创建RoleBinding，把上述Role绑定到需要授权的用户：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: bind-user-pod-exec
  namespace: <你的项目名称>
subjects:
- kind: User
  name: <目标用户名>
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-specific-exec
  apiGroup: rbac.authorization.k8s.io

执行绑定命令：

oc apply -f pod-exec-rolebinding.yaml -n <你的项目名称>

3. 清理原有过高权限 #

务必解绑用户之前的admin角色，避免权限冲突：

oc adm policy remove-role-from-user admin <目标用户名> -n <你的项目名称>

4. 验证权限配置 #

执行以下命令确认权限生效：

oc auth can-i create pods/exec --namespace=<你的项目名称> --resource-name=<目标Pod名称> --as=<目标用户名>

返回yes即表示权限配置正确，此时用户仅能对指定Pod执行oc exec操作，无其他项目权限。

关键注意事项 #

• pods/exec是Pod的子资源，必须单独指定，不能仅写pods
• 无需使用ClusterRole，因为权限仅作用于单个项目，Role的作用域更精准
• 确保用户没有其他集群级或项目级的额外权限绑定，否则会覆盖当前配置

内容的提问来源于stack exchange，提问作者Mad Rudder Man