如何在Kubernetes中禁用所有用户（含管理员）的身份模拟功能？

要彻底禁用所有用户（包括管理员和非管理员）的身份模拟功能，让kubectl get pod --as user1因权限限制无法返回结果，可以通过RBAC拒绝策略实现，具体操作步骤如下：

1. 创建拒绝身份模拟权限的ClusterRole #

创建一个集群级角色，明确拒绝所有与身份模拟相关的操作：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: deny-impersonation
rules:
- apiGroups: [""]
  resources: ["users", "groups", "serviceaccounts"]
  verbs: ["impersonate"]
- apiGroups: ["rbac.authorization.k8s.io"]
  resources: ["clusterroles", "roles"]
  verbs: ["impersonate"]

该规则覆盖了所有可被模拟的资源类型：普通用户、用户组、服务账号，以及RBAC角色/集群角色。

2. 绑定拒绝角色到所有集群主体 #

将上述拒绝角色绑定到集群内所有用户、未认证用户和服务账号组，确保全局生效：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: deny-impersonation-all-subjects
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: deny-impersonation
subjects:
- kind: Group
  name: system:authenticated
  apiGroup: rbac.authorization.k8s.io
- kind: Group
  name: system:unauthenticated
  apiGroup: rbac.authorization.k8s.io
- kind: Group
  name: system:serviceaccounts
  apiGroup: rbac.authorization.k8s.io

3. 验证禁用效果 #

执行测试命令：

kubectl get pod --as user1

此时会返回权限错误提示，说明身份模拟已被禁用，示例错误信息如下：

Error from server (Forbidden): User "your-current-user" cannot impersonate resource "users" in API group ""

关键说明 #

• RBAC规则中拒绝策略优先级高于允许策略，因此即使是拥有cluster-admin权限的用户，也会被禁止使用身份模拟功能。
• 如果后续需要给特定用户开放模拟权限，可单独为其创建允许impersonate操作的角色绑定，但这会打破全局禁用的设定。

内容的提问来源于stack exchange，提问作者farhad kazemipour