具有观察事件权限的 Kubernetes 集群角色

Question

我正在尝试创建一个具有观看事件权限的集群角色，但我似乎遗漏了什么。

我正在使用以下内容:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: watch-events
  namespace: test
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: watch-events-cluster
rules:
- apiGroups:
  - ""
  resources:
  - events
  verbs:
  - watch
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: watch-events-cluster
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: watch-events-cluster
subjects:
- kind: ServiceAccount
  name: watch-events
  namespace: test

无论我用 kubectl auth can-i watch events --as watch-events 尝试什么，我总是得到一个否。

我错过了什么吗？

Answer 1

RBAC 是正确的，将授予集群范围内的权限以监视所有 namespace 中的事件，但 kubectl 命令不正确。该命令应该是

kubectl auth can-i watch events --as=system:serviceaccount:test:watch-events