k8 -跨名称空间使用服务帐户

Question

我有一个服务帐户，在默认的命名空间中，有一个clusterRoleBinding到一个可以观察作业的clusterRole。

我希望在任何命名空间中使用此服务帐户，而不必在每个新的命名空间中定义一个新的服务帐户。init容器使用该服务帐户检查作业是否已完成，然后再允许继续部署。

不确定我需要提供什么额外的信息，但会根据要求这样做。

Answer 1

您可以简单地从RoleBinding中的另一个命名空间引用ServiceAccount:

例如，下面是示例用法，用于将一个名称空间中的服务帐户引用到另一个名称空间中，仅用于读取pod。

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: Role
metadata:
name: pod-reader
namespace: ns2
rules:
- apiGroups: [""]
resources: ["pods"]
verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: pod-reader-from-ns1
namespace: ns2
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: Role
name: pod-reader
subjects:
- kind: ServiceAccount
name: ns1-service-account
namespace: ns1