为普通用户配置Kubernetes RBAC需四步闭环：生成X.509证书（CN为用户名）、定义Role/ClusterRole、创建RoleBinding/ClusterRoleBinding、构造kubeconfig；缺一则导致认证失败或Forbidden错误。
为普通用户在Kubernetes中配置RBAC权限控制凭证，需完成证书生成、角色定义、绑定及kubeconfig构造四步闭环操作，缺一不可，否则用户将无法通过kubectl认证或始终提示Forbidden。
生成用户X.509客户端证书
使用cfssl工具创建用户专属证书对，这是Kubernetes识别“普通用户”而非服务账户的唯一可信方式。Kubernetes不管理用户账户本身，只校验证书中的CN（Common Name）字段作为用户名。
准备cfssl配置：执行cfssl print-defaults config > ca-config.json生成默认CA配置，手动修改"profiles"段，添加"client" profile并设置"usages"包含"client auth"。
生成证书签名请求CSR：运行cfssl genkey -initca ca-csr.json | cfssljson -bare ca创建根CA；再执行cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=client user-csr.json | cfssljson -bare user产出user.pem和user-key.pem。
【user-csr.json中CN字段即为最终kubectl config中显示的用户名，例如"CN": "alice"，后续所有RBAC绑定均以此为准】
定义命名空间级访问权限
普通用户通常只需操作特定命名空间，因此优先使用Role+RoleBinding组合，避免误授集群级权限。
方法一：用kubectl命令快速创建最小化读写角色
kubectl create role dev-role --namespace=dev --verb=get,list,create,update,delete --resource=pods,deployments,services
方法二：用YAML精确控制API组与子资源
编写role.yaml，明确指定apiGroups: ["", "apps", "extensions"]，若遗漏"apps"，则kubectl get deployments会失败；resources中加入"pods/log"才能查看日志，仅写"pods"不行。
将用户绑定到角色
第一步：确认证书中CN值已知——例如上一步生成的证书CN为alice。
第二步：执行绑定命令，必须指定--namespace参数，否则默认在default命名空间创建RoleBinding，而Role本身在dev命名空间，导致绑定失效。
kubectl create rolebinding alice-dev-binding --role=dev-role --user=alice --namespace=dev
第三步：验证绑定结果，运行kubectl get rolebinding -n dev，检查SUBJECTS列是否显示User alice。若显示ServiceAccount，说明误用了--serviceaccount参数。
构造用户专属kubeconfig文件
这一步直接决定用户能否连上集群。必须严格按顺序配置三要素：cluster、user、context，并切换当前context。
执行kubectl config set-cluster my-cluster --server=https://192.168.10.100:6443 --certificate-authority=/path/to/ca.pem --kubeconfig=alice.kubeconfig，注意--server地址必须与API Server实际监听地址一致，填错会导致connection refused。
执行kubectl config set-credentials alice --client-certificate=/path/to/user.pem --client-key=/path/to/user-key.pem --kubeconfig=alice.kubeconfig，证书路径必须是绝对路径，相对路径在远程机器上会失效。
执行kubectl config set-context alice-context --cluster=my-cluster --user=alice --namespace=dev --kubeconfig=alice.kubeconfig，此步设定默认命名空间，省去每次加-n dev。
执行kubectl config use-context alice-context --kubeconfig=alice.kubeconfig，激活上下文，否则后续所有kubectl命令仍走原默认配置。
