之前我们学习了创建基于集群级别的账号和管理配置的方法，具体可以查看这个笔记：https://sulao.cn/post/939.html。
实际在k8s的使用过程中，我们通常以命名空间来隔离项目或者团队，那么这个时候就有一些需求，就是通过k8s RBAC创建的账户只用于某一个命名空间下，那么这样的账户创建和之前基于集群的创建是稍有区别的，那么我们一起来看看创建过程和创建方法
前面的操作也是一样，需要创建一个私钥和证书签名请求
openssl genrsa -out sulao.key 2048 openssl req -new -key sulao.key -out sulao.csr -subj "/CN=sulao"
接着就是使用k8s集群证书签署用户的证书
openssl x509 -req -in sulao.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key -CAcreateserial -out sulao.crt -days 365
接下来我们就需要基于k8s的RBAC来授权这个用户
主要使用的是Role和RoleBinding，而基于集群的用户授权需要使用ClusterRole和ClusterRoleBinding，这个也是我们之前学习过的。
我们首先创建Role
cat test-role.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: namespace: orion name: test-role rules: - apiGroups: ["","apps"] resources: ["pods"] verbs: ["get", "watch", "list"]
复制以上内容到test-role.yaml文件，然后apply创建
接着我们创建RoleBinding
apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: test-role-binding namespace: orion subjects: - kind: User name: sulao #之前使用证书创建的授权用户名 apiGroup: "" roleRef: kind: Role #Role name: test-role #需要绑定的Role名字 apiGroup: ""
复制以上文件到test-role-binding.yaml然后apply创建
上面的都处理好以后，我们依然是需要使用原有的config文件做修改，并通过下面命令获取证书签名请求的base64和私钥的base64
cat sulao.crt | base64 --wrap=0 cat sulao.key | base64 --wrap=0
contexts中的user改为创建的readonly
contexts中的name改为readonly@kubernetes
current-context中的kubernetes-admin@kubernetes改为readonly@kubernetes
users中的name改为readonly
users中的client-certificate-data字段改为readonly.crt base64加密后的内容
users中的client-key-data 改为readonly.key base64 加密后的内容
最后我们将修改好的config文件放置到~/.kube目录下，然后执行命令进行测试
可以看到orion命名空间下的POD可以查看到，但是其他命名空间，或者全局的POD资源提示没有权限。