Kubernetes ServiceAccount角色验证失败：授权配置错误排查

错误原因分析 #

你的配置存在两个关键问题：

1. API组配置错误：Deployment、StatefulSet、DaemonSet属于apps API组，而非配置中写的空字符串""（空字符串对应Kubernetes核心API组，比如Pod、Service这类资源）。
2. 资源名称格式错误：Kubernetes RBAC规则中，资源名称需要使用复数形式，你写的deployment、statefulset、daemonset都是单数，不符合要求。

修正后的配置 #

将Role部分的配置修改为如下内容，其余ServiceAccount和RoleBinding配置无需变动：

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: dev
  name: sa-role
rules:
- apiGroups: ["apps"]
  resources: ["deployments","statefulsets","daemonsets"]
  verbs: ["create"]

验证步骤 #

1. 应用修正后的配置文件：

kubectl apply -f your-config.yaml

2. 重新执行权限验证命令：

kubectl auth can-i create deployment -n dev --as=system:serviceaccount:default:dev-sa

此时命令会返回yes，表示权限配置生效。

补充说明 #

• 可以通过kubectl api-resources命令查看资源对应的API组和正确名称，例如：

  kubectl api-resources | grep -E 'deployment|statefulset|daemonset'
  

  输出会明确显示这些资源的API组为apps，名称为复数形式。
• 你的RoleBinding配置是正确的：跨命名空间将ServiceAccount绑定到命名空间级Role是Kubernetes允许的操作，无需调整。

内容的提问来源于stack exchange，提问作者Xiaole Zhang