具有扩展权限的K8s RBAC服务帐户

Question

我正在寻找具有serviceaccount（不是集群管理员）的选项，以便能够创建新的名称空间并自动获得对其的管理员权限（而所有系统名称空间均不能通过该serviceaccount进行编辑。）>

当前我绑定到clusterrole的服务帐户包含

- apiGroups:
  - ""
  resources:
  - namespaces
  verbs:
  - create
但是它不能对它创建的名称空间执行任何操作。希望得到任何建议。

我正在寻找具有serviceaccount（不是集群管理员）的选项，以能够创建新的名称空间并自动获得对它的管理员权限（而所有系统名称空间都不是...）>

Answer 1

[遗憾的是，仅使用RBAC objects是不可能的。

在RBAC API中，角色包含代表一组规则的规则权限。许可纯粹是相加的（没有“拒绝”规则）。