如何撤销持kubeconfig用户对k8s集群的访问权限？

K8s 原生基于客户端X509证书的认证体系默认不支持证书吊销列表(CRL)，核心通过回收权限实现访问拦截，操作步骤如下：

1. 移除用户关联的所有RBAC权限（必做） #

K8s会将客户端证书的Common Name(CN)字段作为用户名、Organization(O)字段作为用户组进行权限校验，只要移除对应身份的所有权限绑定，用户持有证书也无法执行任何操作：

• 先确认离职用户证书对应的用户名（即签发证书时设置的CN值，记为<username>）
• 检索集群中所有绑定了该用户的权限绑定资源：

  kubectl get rolebindings,clusterrolebindings -o json | jq '.items[] | select(.subjects[]?.name == "<username>") | .metadata.name, .kind, .metadata.namespace'
  

• 逐一删除匹配到的权限绑定：
  • 删除命名空间级RoleBinding：kubectl delete rolebinding <绑定名> -n <对应命名空间>
  • 删除集群级ClusterRoleBinding：kubectl delete clusterrolebinding <绑定名>

注意：如果该用户是通过用户组（证书O字段）获取权限，需确认同组是否有其他正常用户：若该组仅包含离职用户，直接删除组对应的RBAC绑定即可；若同组有其他正常用户，需单独将该用户从组绑定的subjects列表中移除。

2. （可选）认证阶段拦截请求 #

如果你的集群提前开启了额外的认证校验能力，可以在认证阶段直接拦截该用户的请求，避免无效请求进入授权环节：

• 若集群配置了--client-crl-file参数开启CRL校验：导出用户证书的序列号和公钥哈希，加入CA吊销列表，更新apiserver节点的CRL文件后重启apiserver生效
• 若集群接入了认证Webhook：直接将该用户的证书DN加入访问黑名单即可

后续优化建议 #

• 给新用户签发证书时设置较短的有效期（建议不超过90天），配合定期证书轮换机制，即使权限未及时回收，证书到期后也会自动失效
• 优先使用OIDC身份认证、ServiceAccount代替静态客户端证书，支持一键回收账号权限，无需手动清理RBAC绑定

内容的提问来源于stack exchange，提问作者muradheydarov