为什么Kubernetes不允许更新RoleBinding的RoleRef字段？

Kubernetes 从RBAC设计之初就明确禁止修改roleRef字段，完全是出于安全性和可维护性的设计考量，具体原因如下：

• 防止误操作导致的越权风险
  roleRef直接决定了当前绑定关联的权限集合，如果允许直接修改该字段，很容易因为配置写错、批量操作疏漏等问题，意外给关联的用户、服务账号等主体授予过高权限，且这类增量变更很容易在审核配置时被忽略，带来极大的安全隐患。
• 满足权限审计的确定性要求
  RBAC权限体系的核心要求之一是权限变更可追溯、可明确校验。如果允许修改roleRef，同一个绑定资源的生命周期内会关联多个不同的角色，审计人员必须拉取完整的资源变更历史才能确认某一时间段内主体持有的权限，大幅提升审计复杂度，也容易出现审计漏洞。要求绑定创建后roleRef不可变，每一次角色变更都走「删除旧绑定+创建新绑定」的流程，每一次权限变更都会留下明确的创建/删除记录，审计时只需要核对绑定的存在时间和固定关联的roleRef，就能快速完成权限校验，大幅降低审计成本和出错概率。
• 避免权限变更的中间态问题
  Kubernetes的组件间存在缓存同步周期，如果允许修改roleRef，在缓存未同步完成的窗口期，可能会出现新旧权限同时生效的情况，不符合权限替换的预期。而删除重建绑定的逻辑可以保证旧权限明确回收后再授予新权限，不会出现中间态的权限溢出。

如果你需要调整绑定关联的角色，直接先删除原有绑定资源，再重新应用新的配置即可：

# 先删除旧的ClusterRoleBinding
kubectl delete clusterrolebinding test-crb
# 再重新应用新的配置
kubectl apply -f - << EOF
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: test-crb
subjects:
- kind: User
  name: user@acme.com
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: view
  apiGroup: rbac.authorization.k8s.io
EOF

内容的提问来源于stack exchange，提问作者Togomi