配置CronJob删除Kubernetes Namespace遇权限拒绝问题求助

我正在测试一个CronJob，目标是每分钟删除名为test的Namespace。已创建如下ServiceAccount、ClusterRole和RoleBinding：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: test
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: test
rules:
- apiGroups: [""]
  resources: ["namespaces"]
  verbs: ["delete", "get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: test # 用于绑定角色与服务账号
subjects:
- kind: ServiceAccount
  name: test
roleRef:
  kind: ClusterRole
  name: test
  apiGroup: rbac.authorization.k8s.io

我的CronJob配置如下：

apiVersion: batch/v1beta1
kind: CronJob
metadata:
  name: kill-ns
spec:
  schedule: "*/1 * * * *"
  jobTemplate:
    spec:
      template:
        spec:
          serviceAccountName: test
          containers:
          - name: kill-ns
            image: bitnami/kubectl:latest
            command:
            - kubectl
            args:
            - delete
            - namespace
            - test
          restartPolicy: Never

执行Job时出现如下错误：

Error from server (Forbidden): namespaces "test" is forbidden: User
"system:serviceaccount:default:test" cannot delete resource
"namespaces" in API group "" in the namespace "test"

我曾以为是apiGroups配置问题，但确认namespaces对应的apiGroups为""。当前使用本地Docker Desktop，Job部署在default命名空间。

解决方法 #

问题出在权限绑定的作用域：你使用了RoleBinding，它仅对当前命名空间内的资源权限生效，但Namespace是集群级资源，必须用ClusterRoleBinding来绑定ClusterRole，才能让ServiceAccount获得集群级的Namespace操作权限。

替换原有的RoleBinding为以下ClusterRoleBinding配置：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: test
subjects:
- kind: ServiceAccount
  name: test
  namespace: default # 明确指定ServiceAccount所在的default命名空间
roleRef:
  kind: ClusterRole
  name: test
  apiGroup: rbac.authorization.k8s.io

补充说明

• 原RoleBinding仅能赋予default命名空间内的资源权限，无法覆盖集群级的Namespace资源
• ClusterRoleBinding需要明确指定ServiceAccount的namespace字段（因为ServiceAccount是命名空间级资源）
• 你的ClusterRole规则配置正确，已包含Namespace所需的delete/get/list操作权限

内容的提问来源于stack exchange，提问作者TeeTee