已配置Role和RoleBinding，Pod仍无法读取同命名空间ConfigMap

你遇到的权限问题可以从以下几个方向逐一排查：

1. 确认目标ConfigMap存在且命名正确 #

首先确保my-namespace下确实有名为config的ConfigMap（Kubernetes资源名大小写敏感），执行命令验证：

kubectl get configmaps config -n my-namespace

如果返回NotFound，先创建该ConfigMap再进行测试。

2. 验证Role和RoleBinding的权限是否生效 #

用Kubernetes自带的权限测试工具，直接模拟default服务账号的权限：

kubectl auth can-i get configmaps/config -n my-namespace --as=system:serviceaccount:my-namespace:default

• 如果返回no，说明Role或RoleBinding配置存在问题：
  • 检查Role的resourceNames字段是否精确匹配config，有无拼写错误；
  • 检查RoleBinding的roleRef.name是否和Role的名称（config）一致，subjects里的ServiceAccount是否为default且命名空间是my-namespace；
  • 执行kubectl get role,rolebinding -n my-namespace，确认Role和RoleBinding都已成功部署到my-namespace。

3. 确认Pod使用的是default ServiceAccount #

默认情况下Pod会使用所在命名空间的default SA，但如果Pod的spec.serviceAccountName指定了其他账号，就会使用该账号。执行命令查看Pod的ServiceAccount配置：

kubectl describe pod <你的Pod名称> -n my-namespace

查看输出中的ServiceAccount字段，确保值为default。如果不是，要么修改Pod配置使用default SA，要么更新RoleBinding的subjects为Pod实际使用的ServiceAccount。

4. 检查go-client代码中的Namespace变量 #

你的代码中ConfigMaps(Namespace)的Namespace变量值必须是my-namespace，如果变量值错误，客户端会尝试去其他命名空间获取ConfigMap，导致权限错误。可以在代码中添加日志打印这个变量的值，确认是否正确：

logger.Info("Using namespace: ", Namespace)

5. 考虑RBAC缓存延迟 #

Kubernetes的RBAC权限有时候会有几秒的缓存延迟，如果你刚创建完Role和RoleBinding就测试，可以等待10-15秒后再重试。

内容的提问来源于stack exchange，提问作者rookie099