如何为Kubernetes Pod授予权限以执行全资源列表查询命令？

你现有的ClusterRole权限范围已足够覆盖目标命令所需的所有list操作，但还需完成角色绑定并在Job中指定服务账号，具体步骤如下：

1. 创建专用服务账号 #

在命令操作的目标命名空间（ibm-rancher）下创建服务账号：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: resource-lister-sa
  namespace: ibm-rancher

2. 绑定ClusterRole到服务账号 #

由于你的ClusterRole是集群级资源，需通过ClusterRoleBinding将其与上述服务账号关联：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: workaround-binding
subjects:
- kind: ServiceAccount
  name: resource-lister-sa
  namespace: ibm-rancher
roleRef:
  kind: ClusterRole
  name: workaround
  apiGroup: rbac.authorization.k8s.io

注意：ClusterRole是集群范围资源，无需指定metadata.namespace字段，建议从你提供的ClusterRole配置中删除该字段以避免混淆。

3. 在Job中配置服务账号 #

创建Job时指定使用上述服务账号，示例配置如下：

apiVersion: batch/v1
kind: Job
metadata:
  name: list-all-resources
  namespace: ibm-rancher
spec:
  template:
    spec:
      serviceAccountName: resource-lister-sa
      containers:
      - name: kubectl-runner
        image: bitnami/kubectl:latest
        command: ["/bin/sh", "-c"]
        args:
        - "kubectl api-resources --verbs=list --namespaced -o name | xargs -n 1 kubectl get -n ibm-rancher"
      restartPolicy: OnFailure

关键说明 #

• 你提供的ClusterRole已包含所有API组、所有资源的全量操作权限，完全满足kubectl get对应的list动词需求，无需调整权限规则。
• 需确保Job使用的镜像内置kubectl工具，示例中使用的bitnami/kubectl为常用可信镜像，也可选择其他符合要求的镜像。
• 若追求最小权限原则，可将ClusterRole中的verbs从*改为仅list，但当前配置已能正常完成目标操作。

内容的提问来源于stack exchange，提问作者placplacboom