4. Role 与 ClusterRole 详解：命名空间级别与集群级别角色定义

在 Kubernetes RBAC 体系中，Role 和 ClusterRole 是定义权限集合的核心资源。两者的本质区别在于作用域：Role 作用于特定命名空间（Namespace），而 ClusterRole 作用于整个集群。理解这一差异是设计安全、可维护的调度策略的基础。

4.1 核心概念对比

4.2 资源规则三要素：apiGroups、resources、verbs

无论是 Role 还是 ClusterRole，其权限规则都由三个核心字段组成：

• apiGroups：指定 API 组。空字符串 "" 表示核心 API 组（v1），例如 Pod、Service、Node。调度相关资源如 scheduling.k8s.io 组包含 PriorityClass。
• resources：指定资源类型，如 pods、nodes、deployments。支持子资源写法，如 pods/status、pods/log。
• verbs：指定操作动词，常见包括 get、list、watch、create、update、patch、delete。

4.3 Role 定义示例：命名空间级别调度权限

以下 Role 允许调度组件在 production 命名空间中读取 Pod 和 Node 信息，并更新 Pod 的调度状态：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: production
  name: scheduler-role
rules:
- apiGroups: [""]                     # 核心 API 组
  resources: ["pods", "pods/status"]
  verbs: ["get", "list", "watch", "update"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["scheduling.k8s.io"]
  resources: ["priorityclasses"]
  verbs: ["get", "list"]

4.4 ClusterRole 定义示例：集群级调度权限

以下 ClusterRole 允许跨命名空间管理 Pod 和节点，适用于集群级调度器或资源控制器：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-scheduler-role
rules:
- apiGroups: [""]
  resources: ["pods", "pods/status", "nodes", "namespaces"]
  verbs: ["get", "list", "watch", "update"]
- apiGroups: ["scheduling.k8s.io"]
  resources: ["priorityclasses"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["storage.k8s.io"]
  resources: ["storageclasses"]
  verbs: ["get", "list"]
- apiGroups: ["rbac.authorization.k8s.io"]
  resources: ["clusterroles", "clusterrolebindings"]
  verbs: ["get", "list"]

4.5 作用域与绑定关系图解

下图展示了 Role 与 ClusterRole 在命名空间和集群层面的绑定关系，以及权限的传播路径：

4.6 调度策略中的典型资源与动词组合

下表总结了调度场景下常用的资源规则组合，帮助快速配置正确的权限：

4.7 常见配置错误与避坑指南

• 错误： 在 Role 中指定集群级资源（如 nodes、namespaces）。
  结果： 规则被忽略，权限不生效。
  修正： 将集群级资源移至 ClusterRole 中定义。
• 错误： 使用 RoleBinding 绑定 ClusterRole 时，未指定 namespace 字段。
  结果： 绑定失败或作用域不符合预期。
  修正： RoleBinding 必须指定 metadata.namespace。
• 错误： 在 rules 中使用 apiGroups: ["*"] 或 resources: ["*"]。
  结果： 权限范围过大，违反最小权限原则。
  修正： 明确列出所需的 apiGroups 和 resources。
• 错误： 忘记为子资源（如 pods/status）单独授权。
  结果： 调度器无法更新 Pod 状态。
  修正： 在主资源规则之外，显式添加子资源规则。