Как проверить права пользователя на действия в кластере с учётом RoleBinding?

Проверьте действие через kubectl auth can-i, затем сопоставьте subjects и roleRef в RoleBinding/ClusterRoleBinding с правилами соответствующих ролей.

Для текущей учётной записи:

kubectl auth can-i get pods -n demo
kubectl auth can-i --list -n demo

Для другого пользователя можно добавить --as=alice, если вам разрешена impersonation. Учитывайте его группы, при необходимости через --as-group. RoleBinding ограничивает выдаваемые права своим namespace, даже когда ссылается на ClusterRole; ClusterRoleBinding действует на уровне кластера. Проверяйте точный verb, ресурс, subresource и namespace. Разрешение авторизации не гарантирует прохождение последующих admission-проверок.

Источник: kubernetes.io.