Ограничить доступ к учетной записи службы Kubernetes определенным пространством имен

Question

Я создал учетную запись службы, которая содержит роль кластера по умолчанию «представление», благодаря которой он может получить доступ ко всем нашим ресурсам с разрешением просмотра.

Но я хотел бы добавить ограничение, чтобы эта учетная запись службы могланет доступа к одному из наших пространств имен.

Есть идеи, как мне этого добиться?

Br,

Тим

Answer 1

В дополнение к другому ответу, когда вы используете Role, вам необходимо указать namespace на вашем RoleBinding.Например:

$ kubectl create rolebinding my-binding --role=myrole --user=myuser --namespace=mynamespace

Answer 2

Kubernetes имеет только две области разрешений: Кластер (ClusterRole) или Пространство имен (Role), и нет способа ограничить или исключить ClusterRole для определенных пространств имен.Если вы хотите ограничить свой ServiceAccount определенными пространствами имен, вы не можете использовать ClusterRole, но должны использовать Role в каждом пространстве имен, к которому ServiceAccount должен иметь доступ.