Могу ли я использовать Role и ServiceAccounts с несколькими пространствами имен?

Question

Я пытаюсь подключить мой кластер k8s к моему кластеру ceph с помощью этого руководства: https://akomljen.com/using-existing-ceph-cluster-for-kubernetes-persistent-storage/

Я хочу развернуть модули rbd-provision в пространстве имен kube-system следующим образом: https://paste.ee/p/C1pB4

После развертывания ПВХ я получаю ошибки, потому что мой ПВХ находится в пространстве имен по умолчанию. Могу ли я сделать с этим что-нибудь? Я читаю документы, и если я прав, я не могу использовать ServiceAccount с 2 нс, или может?

Answer 1

Нет. Сервисная учетная запись является объектом пространства имен, и она ограничена только конкретным пространством имен

Answer 2

Учетным записям службы могут быть предоставлены разрешения в другом пространстве имен.

Например, в пространстве имен "acme" предоставьте разрешения в viewClusterRole на служебную учетную запись в пространстве имен "acme" с именем "myapp":

kubectl create rolebinding myapp-view-binding \
  --clusterrole=view --serviceaccount=acme:myapp \
  --namespace=acme