授权对象关系
按规则、绑定、运行身份三层核对
权限规则层
Role
namespace内资源
复用规则
ClusterRole
集群级或跨空间复用
绑定关系层
Binding对象
决定权限给谁
范围边界
命名空间 / 集群
优先收窄授权范围
运行身份层
专用运行身份
工作负载实际使用
风险边界
动词与资源范围
每项授权都要可解释
检查顺序：规则授予什么操作，再看绑定给谁，最后确认哪个运行身份实际使用