（1） RoleBinding和 ClusterRoleBinding
RoleBinding向用户或一组用户授予在角色中定义的权限。它包含主题列表（用户、组或服务账户），以及对所授予角色的引用。RoleBinding授予特定Namespace内的权限，而 ClusterRoleBinding授予在集群范围内访问的权限。
RoleBinding可以引用同一 Namespace中的任何 Role。 或者，RoleBinding可以引 用 ClusterRole并 将 该 ClusterRole绑 定 到 RoleBinding的 Namespace。 如 果 要 将ClusterRole绑定到集群中的所有 Namespace，要使用 ClusterRoleBinding。
代码清单2-71是一个 RoleBinding的示例。
apiVersion:rbac.authorization.k8s.io/v1kind:RoleBinding
metadata:
name:ns-admin-rolebindingnamespace:myspace
roleRef:
apiGroup:rbac.authorization.k8s.iokind:Role
name:ns-adminsubjects:
- apiGroup:rbac.authorization.k8s.iokind:User
name:kcp
要在集群范围内完成访问权限的鉴权，可以使用一个ClusterRoleBinding（见代码清单2-72）。
apiVersion:rbac.authorization.k8s.io/v1kind:ClusterRoleBinding
metadata:
name:system:corednsroleRef:
apiGroup:rbac.authorization.k8s.iokind:ClusterRole
name:system:corednssubjects:
- kind:ServiceAccountname:corednsnamespace:kube-system
1. Node鉴权
Node鉴权是一种专用授权模式，专门对 Kubelet发出的 API 请求进行鉴权。Node鉴权允许 Kubelet对多种资源有操作权限，例如，Services、Endpoints、Nodes、Pods等资源。使用 system:node组对Kubelet组件进行权限控制，要使用 Node鉴权，需要在APIServer启动参数中添加--authorization-mode=Node，RBAC。
2. WebHook模式
WebHook鉴权基于 HTTP的回调机制，这个模块在做决策时，APIServer会向远端鉴权服务器发送一个 POST请求，请求体是一个SubjectAccessReview对象，这个对象中包含了描述用户请求的资源，同时也包含了被访问资源或请求的具体信息。要启用WebHook鉴权，需要添加如下参数。
（1）--authorization-webhook-config-file=：这是一个 kubeconfig格式的配置文件，user字段引用的是 apiserverwebhook，clusters字段引用的是远端服务。
（2）--authorization-mode=Node，RBAC：启用 WebHook鉴权。
