如何在Kubernetes中获取多个命名空间管理权限且不授予全集群访问权限

你不需要为每个目标命名空间单独编写Role，也不需要给部署器开放完整集群权限，采用「共用ClusterRole + 多命名空间RoleBinding」的方案即可满足需求，具体实现如下：

核心逻辑 #

ClusterRole仅作为权限规则的通用模板，本身不会授予任何实际权限，只有和绑定对象配合时才会生效：

• 若将ClusterRole和ClusterRoleBinding绑定，权限会对全集群所有命名空间生效
• 若将ClusterRole和命名空间级的RoleBinding绑定，权限仅会在RoleBinding所属的命名空间生效

具体配置步骤 #

1. 编写部署器专用ClusterRole #

该ClusterRole仅定义部署器需要的命名空间级资源操作权限，不要添加命名空间本身的增删改规则，示例如下：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: deployer-resource-operator
rules:
# 允许操作deployments资源
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
# 允许操作svc、configmap等核心组资源
- apiGroups: [""]
  resources: ["services", "configmaps", "secrets", "persistentvolumeclaims"]
  verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
# 此处不要添加任何对namespaces资源的操作规则

2. 为每个目标命名空间创建RoleBinding #

你只需要为每个预先规划好的目标命名空间创建一个RoleBinding，将上面的ClusterRole绑定到部署器的ServiceAccount即可，示例如下（以目标命名空间app-ns1为例）：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: deployer-perm-binding
  namespace: app-ns1 # 替换为实际目标命名空间
subjects:
- kind: ServiceAccount
  name: deployer-sa # 替换为部署器实际使用的ServiceAccount名称
  namespace: deployer-ns # 替换为部署器本身所在的命名空间
roleRef:
  kind: ClusterRole
  name: deployer-resource-operator
  apiGroup: rbac.authorization.k8s.io

你可以根据需要管理的命名空间数量，复制上述RoleBinding配置修改namespace字段即可，不需要重复定义权限规则。

Helm Chart集成方案 #

你可以直接在部署器的Helm Chart中通过循环逻辑批量生成RoleBinding，不需要提前手动创建：

1. 在values.yaml中新增目标命名空间配置项：

# 部署器需要管理的所有目标命名空间列表
targetNamespaces:
  - app-ns1
  - app-ns2
  - app-ns3

2. 在templates目录下新增rolebindings.yaml文件，通过range循环批量生成配置：

{{- range .Values.targetNamespaces }}
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: deployer-perm-binding
  namespace: {{ . }}
subjects:
- kind: ServiceAccount
  name: {{ include "deployer.serviceAccountName" $ }}
  namespace: {{ $.Release.Namespace }}
roleRef:
  kind: ClusterRole
  name: deployer-resource-operator
  apiGroup: rbac.authorization.k8s.io
---
{{- end }}

后续如果需要新增部署器管理的命名空间，只要修改values.yaml中的targetNamespaces列表重新升级Helm版本即可，不需要改动核心权限规则。

内容的提问来源于stack exchange，提问作者AVarf