如何设置Kubernetes资源仅允许指定Role/ClusterRole读写？

核心结论 #

原生Kubernetes RBAC 模型本身是隐式默认全拒绝、仅显式授予权限生效的设计，没有原生的「给资源绑定允许访问的角色」、也没有原生DENY规则能力，但你需要的「仅指定ServiceAccount可访问某个Secret」的需求完全可以通过原生RBAC权限收敛实现，特殊场景下也可以通过扩展能力实现。

原生RBAC实现方案 #

你不需要依赖DENY规则，只要确保除了你指定的ServiceAccount外，没有任何其他身份被授予该Secret的访问权限即可，配置示例如下：

1. 首先创建仅开放目标Secret访问权限的Role（如果需要跨命名空间可以用ClusterRole）

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: 你的Secret所在命名空间
  name: 特定Secret访问权限
rules:
- apiGroups: [""]
  resources: ["secrets"]
  resourceNames: ["你的目标Secret名称"]
  verbs: ["get", "list", "watch"] # 按需添加create、update等写权限

2. 把这个Role绑定到你允许访问的ServiceAccount上

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: 特定Secret访问绑定
  namespace: 你的Secret所在命名空间
subjects:
- kind: ServiceAccount
  name: 允许访问的ServiceAccount名称
  namespace: 你的Secret所在命名空间
roleRef:
  kind: Role
  name: 特定Secret访问权限
  apiGroup: rbac.authorization.k8s.io

只要你的集群里没有其他Role/ClusterRole给其他身份授予了该特定Secret的访问权限，就只有你指定的ServiceAccount能读写这个Secret，完全符合你的需求。

已有宽泛权限场景的扩展方案 #

如果你的集群里已经存在大量宽泛的权限配置（比如给很多身份授予了某命名空间下所有Secret的访问权限，无法快速收敛），可以通过Kubernetes扩展能力实现DENY逻辑：

• 部署OPA Gatekeeper，编写Rego规则拦截所有对该Secret的访问请求，仅当请求身份绑定了指定ClusterRole时才放行
• 开启Kubernetes Webhook鉴权模式，自定义鉴权逻辑，对特定资源的访问做额外的角色校验

内容的提问来源于stack exchange，提问作者robotic_chaos