配置ClusterRoleBinding后无法创建Namespace的权限问题求助

核心问题 #

你在测试时使用的--as=executors指定的身份错误，Kubernetes中ServiceAccount对应的用户身份格式是system:serviceaccount:<命名空间>:<ServiceAccount名称>，而非单纯的ServiceAccount名称。直接使用executors作为用户，相当于引用了一个未被授权的普通用户，自然会提示权限不足。

验证及解决步骤 #

1. 使用正确身份验证权限
   执行以下命令，指定ServiceAccount对应的完整用户身份：

kubectl auth can-i create namespace --as=system:serviceaccount:bootstrap:executors

该命令应返回yes，表示权限配置正常。

2. 使用正确身份创建命名空间
   执行正确的创建命令：

kubectl create namespace test --as=system:serviceaccount:bootstrap:executors

此时即可成功创建test命名空间。

补充说明 #

你的ClusterRole和ClusterRoleBinding配置本身没有问题：

• ClusterRole bootstrap 已授予对namespaces资源的全量操作权限
• ClusterRoleBinding my-namespaces 已正确将bootstrap命名空间下的executors ServiceAccount绑定到该ClusterRole

问题仅出在测试时的身份指定错误，未使用ServiceAccount对应的完整用户标识。

内容的提问来源于stack exchange，提问作者anish