kubectl auth can-i 权限自检

回答「当前或指定身份能否执行某操作」，用 --as 模拟其他用户/ServiceAccount，是 403 报错时的常用诊断命令。

Kubernetes 速查云更新于 2026-10-12

用途	检查 RBAC 授权结果
语法	kubectl auth can-i <动词> <资源> [--as=<身份>] [-n 命名空间]

常用示例

kubectl auth can-i create pods -n prod
kubectl auth can-i --list -n prod
kubectl auth can-i get secrets --as=system:serviceaccount:prod:builder -n prod
kubectl auth can-i '*' '*' --all-namespaces

返回 yes/no 判断当前 context 身份；--list 输出该身份在本命名空间被授予的规则清单。

易错点

can-i 只回答最终判定，不展示是哪条 Role/RoleBinding 生效；要看细节用 --list 再对照 rolebinding 描述
模拟 --as 需要当前身份有 impersonate 权限，否则结果不可信

数据来源与参考

Kubernetes 官方文档 · kubectl auth can-i / RBAC

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌