12.2. 用户名和组

每个服务帐户都有一个关联的用户名，可以像普通用户一样被授予角色。用户名派生自其项目和名称：

system:serviceaccount:<project>:<name>

例如，将 view 角色添加到 top-secret 项目中的 robot 服务帐户：

$ oc policy add-role-to-user view system:serviceaccount:top-secret:robot

重要

如果要向项目中的特定服务帐户授予访问权限，您可以使用 -z 标志。在服务帐户所属的项目中，使用 -z 标志并指定 <serviceaccount_name>。强烈建议您这样做，因为它有助于防止拼写错误，并确保只为指定的服务帐户授予访问权限。例如：

 $ oc policy add-role-to-user <role_name> -z <serviceaccount_name>

如果没有在项目中，请使用 -n 选项来指示它应用到的项目命名空间，如下例所示。

每一服务帐户也是以下两个组的成员：

例如，允许所有项目中的所有服务帐户查看 top-secret 项目中的资源：

$ oc policy add-role-to-group view system:serviceaccounts -n top-secret

允许 managers 项目中的所有服务帐户编辑 top-secret 项目中的资源：

$ oc policy add-role-to-group edit system:serviceaccounts:managers -n top-secret