Go程序在Kubernetes中需通过专用ServiceAccount+Role/RoleBinding（同命名空间）或ClusterRole/ClusterRoleBinding（跨命名空间/集群级资源）配置RBAC权限；初始化clientset须校验InClusterConfig错误，API调用需处理IsForbidden等错误；三者命名空间必须一致，否则权限不生效。
Go 程序在 Kubernetes 集群内运行时，rest.InClusterConfig() 自动加载 Pod 内挂载的 ServiceAccount Token，但这个身份默认没有任何权限——它不是“你本机 kubectl 那个用户”，而是 system:serviceaccount:<namespace>:<name>。所以报错 User "system:serviceaccount:default:default" cannot list resource "pods" 不是代码问题，是 RBAC 没配。
怎么让 Go 程序拿到 pod 列表权限
核心就两步：创建 ServiceAccount，再用 RoleBinding 把它和一个有权限的 Role 绑定。不要直接给 default SA 加权限，那是反模式。
- 先创建专用 ServiceAccount：
apiVersion: v1 kind: ServiceAccount metadata: name: my-app-sa namespace: default
- 再定义 Role（只给最小必要权限）：
apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: my-app-pod-reader namespace: default rules: - apiGroups: [""] resources: ["pods"] verbs: ["get", "list", "watch"]
- 最后绑定：
apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: my-app-read-pods namespace: default subjects: - kind: ServiceAccount name: my-app-sa namespace: default roleRef: kind: Role name: my-app-pod-reader apiGroup: rbac.authorization.k8s.io
什么时候必须用 ClusterRole 而不是 Role
当你需要跨命名空间操作，或访问集群级资源（如 nodes、persistentvolumes、clusterroles）时，Role 就不够用了。比如你的 Go Agent 要查所有 namespace 的事件，就得用 ClusterRole + ClusterRoleBinding。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
-
ClusterRole示例（查全部 events）：apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: event-reader rules: - apiGroups: [""] resources: ["events"] verbs: ["get", "list", "watch"]
- 绑定到 ServiceAccount（注意
ClusterRoleBinding没有namespace字段）：apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: my-app-read-events subjects: - kind: ServiceAccount name: my-app-sa namespace: default roleRef: kind: ClusterRole name: event-reader apiGroup: rbac.authorization.k8s.io
Go 代码里怎么安全地初始化 clientset
别硬编码 kubeconfig 路径，也别在生产环境用 OutOfClusterConfig。In-cluster 场景下，只用 rest.InClusterConfig()，但它会失败——如果 RBAC 没配好，clientset.CoreV1().Pods("").List() 直接 panic 或返回 403，不会给你二次机会。
立即学习“go语言免费学习笔记（深入）”；
- 初始化要加错误检查：
config, err := rest.InClusterConfig() if err != nil { log.Fatal("InClusterConfig failed:", err) } clientset, err := kubernetes.NewForConfig(config) if err != nil { log.Fatal("NewForConfig failed:", err) } - 调用前别假设成功，每次请求都要处理
errors.IsForbidden或errors.IsNotFound：pods, err := clientset.CoreV1().Pods("default").List(ctx, metav1.ListOptions{}) if err != nil { if errors.IsForbidden(err) { log.Fatal("RBAC permission denied - check RoleBinding") } log.Fatal("List pods failed:", err) }
最容易被忽略的坑：命名空间错位
ServiceAccount、Role、RoleBinding 三者必须在同一个 namespace（除非用 ClusterRoleBinding）。常见错误是把 RoleBinding 放在了 default，而 ServiceAccount 创建在 my-ns —— binding 找不到 subject，权限就永远不生效。检查命令：
kubectl get sa -n my-ns kubectl get role -n my-ns kubectl get rolebinding -n my-ns还得确认
subjects[].namespace 字段是否显式写了 my-ns（RoleBinding 本身有 namespace，但 subjects 里的 ServiceAccount 必须指定 namespace）。 
