如何限制Service Account仅查看指定Namespace的Pods、Services等资源？

你想要让 Service Account (SA) yyy 仅能访问指定 namespace xxx 内的 Pods、Services 等资源，这恰恰是 Kubernetes 中 Role + RoleBinding 的设计初衷——而你之前遇到的 403 错误，大概率是配置细节出了疏漏；绑定 ClusterRole view 能生效但权限溢出，是因为它是集群级角色，会赋予跨所有 namespace 的查看权限，完全不符合你的需求。下面我一步步帮你搞定：

一、先排查你之前403的常见坑 #

你的思路是对的，但可能踩了这些细节：

• Role 的 API 组写错：Pods、Services 这类核心资源属于空字符串 API 组（""），不是 "core" 或其他值，很多人容易在这里出错；
• RoleBinding 未指定 SA 的命名空间：SA 是命名空间级资源，如果你的 SA yyy 不在 xxx 命名空间，RoleBinding 必须明确指定 subjects 里的 namespace 字段；如果 SA 在 xxx 但没写，Kubernetes 会默认匹配当前 RoleBinding 的命名空间，看似没问题，但某些场景下会出现权限不生效的情况；
• Role 的权限规则不全：比如只给了 get 权限但没加 list、watch，导致单个资源能访问，但列表查询会被拒绝；
• token 获取错误：比如用了旧的 Secret，或者解码 token 时出错（比如 base64 解码失败）。

二、正确的权限配置步骤 #

我给你一套标准的配置流程，确保权限精准可控：

1. 创建目标命名空间（如果还没创建） #

kubectl create namespace xxx

2. 创建命名空间级的 Role #

这个 Role 只定义 xxx 命名空间内的查看权限，按需添加你需要的资源：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: namespace-viewer
  namespace: xxx # 绑定到目标命名空间
rules:
- apiGroups: [""] # 核心资源的API组，固定为空字符串
  resources: ["pods", "services", "pods/log", "endpoints"] # 按需添加你需要查看的资源
  verbs: ["get", "list", "watch"] # 仅赋予查看类操作，不要给多余权限

应用这个 Role：

kubectl apply -f role.yaml

3. 在目标命名空间创建 SA yyy #

kubectl create serviceaccount yyy -n xxx

4. 创建 RoleBinding 绑定 SA 和 Role #

把 SA yyy 和上面的 namespace-viewer Role 绑定，确保权限仅作用于 xxx 命名空间：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: yyy-namespace-viewer-binding
  namespace: xxx # 绑定到目标命名空间
subjects:
- kind: ServiceAccount
  name: yyy
  namespace: xxx # 明确指定SA所在的命名空间，避免歧义
roleRef:
  kind: Role
  name: namespace-viewer
  apiGroup: rbac.authorization.k8s.io

应用这个 RoleBinding：

kubectl apply -f rolebinding.yaml

三、验证权限是否符合要求 #

1. 获取 SA 的有效 token #

# 获取关联的 Secret 名称
SECRET_NAME=$(kubectl get sa yyy -n xxx -o jsonpath='{.secrets[0].name}')
# 解码得到 token
TOKEN=$(kubectl get secret $SECRET_NAME -n xxx -o jsonpath='{.data.token}' | base64 -d)

2. 测试访问目标命名空间资源 #

curl -kD - -H "Authorization: Bearer $TOKEN" https://localhost:6443/api/v1/namespaces/xxx/pods

正常情况下会返回 200 OK 并列出 xxx 命名空间的 Pods。

3. 测试访问其他命名空间资源 #

curl -kD - -H "Authorization: Bearer $TOKEN" https://localhost:6443/api/v1/namespaces/default/pods

这时候应该返回 403 Forbidden，说明权限被正确限制在了 xxx 命名空间内。

四、快速验证权限的小技巧 #

用 kubectl auth can-i 命令可以快速验证权限，不用每次都调用 API：

# 验证是否能查看xxx命名空间的Pods
kubectl auth can-i list pods -n xxx --as=system:serviceaccount:xxx:yyy
# 验证是否能查看default命名空间的Pods
kubectl auth can-i list pods -n default --as=system:serviceaccount:xxx:yyy

第一个命令会返回 yes，第二个返回 no，说明权限配置正确。

内容的提问来源于stack exchange，提问作者kris