如何让Kubernetes动态命名空间访问预创建的ServiceAccount？

由于ServiceAccount是命名空间作用域资源，Kubernetes/OpenShift不支持直接跨命名空间引用其他namespace的SA，针对你这种动态创建随机命名空间的场景，推荐以下几种可行方案：

方案1：自动在新命名空间中创建同名ServiceAccount并同步权限 #

这是最贴合你需求的方案——利用OpenShift的Namespace Template功能，或者自定义控制器/准入Webhook，在每个新命名空间创建时自动注入你需要的fooSA，并绑定对应的权限。

用OpenShift Namespace Template实现 #

1. 创建一个Namespace模板，定义新命名空间需要自动创建的SA和权限绑定：

apiVersion: v1
kind: Template
metadata:
  name: namespace-with-fooSA
objects:
# 自动创建同名ServiceAccount
- apiVersion: v1
  kind: ServiceAccount
  metadata:
    name: fooSA
    namespace: ${NAMESPACE}
# 绑定原fooSA对应的权限（替换为你实际的ClusterRole/Role）
- apiVersion: rbac.authorization.k8s.io/v1
  kind: RoleBinding
  metadata:
    name: fooSA-permissions
    namespace: ${NAMESPACE}
  roleRef:
    apiGroup: rbac.authorization.k8s.io
    kind: ClusterRole
    name: fooSA-cluster-role  # 替换为你给原fooSA配置的ClusterRole名称
  subjects:
  - kind: ServiceAccount
    name: fooSA
    namespace: ${NAMESPACE}
parameters:
- name: NAMESPACE
  description: 目标命名空间名称
  required: true

2. 将模板导入OpenShift：

oc apply -f namespace-template.yaml -n openshift-config

3. 配置OpenShift使用该模板作为新命名空间的默认模板：

oc patch namespace.config.openshift.io/cluster --patch '{"spec":{"template":{"name":"namespace-with-fooSA"}}}' --type=merge

之后，任何新创建的命名空间都会自动包含fooSA，用户直接执行oc apply -f myapp.yaml -n bar即可正常使用，无需额外操作。

方案2：使用ClusterRole直接绑定用户权限（备选） #

如果不需要强制使用特定SA，也可以直接给访问集群的用户绑定对应权限，这样用户创建的Deployment默认会使用namespace的默认SA，且拥有你需要的权限：

# 创建对应权限的ClusterRole
oc create clusterrole app-deploy-role --verb=create,get,list,watch --resource=deployments,pods,services
# 绑定到所有需要访问的用户
oc create clusterrolebinding app-deploy-binding --clusterrole=app-deploy-role --user=user1 --user=user2

这种方案无需管理跨namespace的SA，适合不需要指定特定SA的场景。

方案3：手动生成SA Token并挂载（临时方案） #

如果只是临时需求，可以手动生成原fooSA的token，然后在目标命名空间中创建Secret挂载到Deployment：

1. 授予用户生成fooSA token的权限：

oc create clusterrole sa-token-creator --verb=create --resource=serviceaccounts/tokens
oc create clusterrolebinding sa-token-creator-binding --clusterrole=sa-token-creator --user=target-user

2. 用户生成token：

oc create token fooSA -n foo --duration=72h > sa-token.txt

3. 在目标命名空间创建包含该token的Secret：

apiVersion: v1
kind: Secret
metadata:
  name: fooSA-token
  namespace: bar
type: kubernetes.io/service-account-token
data:
  token: $(cat sa-token.txt | base64 -w0)
  ca.crt: $(oc get secret $(oc get sa fooSA -n foo -o jsonpath='{.secrets[0].name}') -n foo -o jsonpath='{.data.ca\.crt}')
  namespace: Zm9v  # base64编码的"foo"字符串

4. 在Deployment中挂载该Secret：

spec:
  containers:
  - name: myapp
    image: your-image
    volumeMounts:
    - name: sa-token
      mountPath: /var/run/secrets/kubernetes.io/serviceaccount
  volumes:
  - name: sa-token
    secret:
      secretName: fooSA-token

此方案需要用户手动操作，不适合大规模动态场景，仅作为临时替代。

内容的提问来源于stack exchange，提问作者elatedgoat