kubernetes - 默认服务帐户具有哪些默认权限？

Question

假设我设置了一个全新的 Kubernetes 集群。我假设 kube-system 和 default 命名空间都将获得一个名为 default 的服务帐户？该服务帐户具有哪些权限？完全读/写权限？

我问这个问题本质上是为了了解为自定义 Go Controller 提供对资源的写访问权限的最佳实践。

Answer 1

服务帐户没有固有权限。它们拥有的权限完全取决于配置的授权模式(--authorization-mode flag passed to the apiserver)

定义 RBAC 角色是指定 Controller 所需权限的好方法。

在 https://github.com/kubernetes/kubernetes/tree/master/plugin/pkg/auth/authorizer/rbac/bootstrappolicy 中已有树内 Controller 的角色定义