具有两个提到相同资源的规则的ClusterRole的预期行为

Question

我正在Openshift集群上使用RBAC。我想知道应用具有两个引用相同资源的规则的ClusterRole的预期行为是什么。例句:

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
name: ocp-cluster-role
rules:
- apiGroups:
- ""
resources:
- Pods
verbs:
- get
- apiGroups:
- ""
resources:
- Pods
verbs:
- create
- delete

关联的ServiceAccount是否能够创建、删除、获取pod，或者它们是否会相互覆盖?

Answer 1

主题将拥有通过多个角色绑定授予的所有权限。

Answer 2

由于集群角色包含get、create &删除pod资源的权限，这样它们就会一起应用到一个服务帐户中进行角色绑定，而不会相互覆盖。