必须使用 ClusterRole + ClusterRoleBinding 组合授予跨所有命名空间的统一权限，因 RoleBinding 无法绑定 ClusterRole 实现集群级授权；ClusterRole 本身不接受 namespace 字段，对 pods 等命名空间级资源可跨 namespace 授权，前提是通过 ClusterRoleBinding 正确绑定到用户、组或 serviceaccount（格式为“命名空间:名称”）。
在 Kubernetes 集群中为运维人员、监控系统或 CI/CD 服务账号授予跨所有命名空间的统一权限，必须使用 ClusterRole + ClusterRoleBinding 组合，因为 RoleBinding 无法绑定 ClusterRole 实现集群级授权，强行混用会导致权限不生效。
创建具备全局读取能力的 ClusterRole
执行以下命令创建一个仅允许读取全部命名空间中 Pod、Deployment、Service 的 ClusterRole：
kubectl create clusterrole read-all-namespaces --verb=get,list,watch --resource=pods,deployments,services --namespace=*
注意：--namespace=* 是无效参数，ClusterRole 本身不接受 namespace 字段；该参数会被忽略，但输入它不会报错——真正决定作用范围的是资源类型是否属于集群级（如 nodes）或命名空间级（如 pods）；对 pods 等命名空间级资源，ClusterRole 允许跨 namespace 访问，前提是后续绑定方式正确。
将 ClusterRole 绑定到用户或组
方法一：绑定到具体用户名（如运维管理员 alice）
kubectl create clusterrolebinding alice-global-reader --clusterrole=read-all-namespaces --user=alice
方法二：绑定到用户组（如 devops-group）
kubectl create clusterrolebinding devops-global-access --clusterrole=read-all-namespaces --group=devops-group
方法三：绑定到服务账户（常用于 Prometheus 或 Argo CD）
kubectl create clusterrolebinding prometheus-sa-binding --clusterrole=read-all-namespaces --serviceaccount=monitoring:prometheus-server
【serviceaccount 格式必须为 "命名空间:服务账户名"，缺一不可，否则绑定失败且无明确错误提示】
验证权限是否生效
第一步：切换上下文或配置 kubeconfig 使用目标用户（如 alice）凭据。
第二步：运行跨命名空间查询命令：
kubectl get pods -A
第三步：检查是否能列出所有命名空间下的 Pod。若返回 “Error from server (Forbidden)” 则说明 ClusterRoleBinding 未生效，常见原因是用户证书未正确携带 CN（Common Name）字段，或 kube-apiserver 启动时未启用 RBAC 授权模式（需确认 --authorization-mode=RBAC 已配置）。
第四步：进一步验证非核心资源权限，例如：
kubectl get deployments -A
如果该命令成功返回结果，说明 ClusterRole 中定义的 resources 和 verbs 已被正确继承并应用。
