本页面展示集群管理员如何强化动态资源分配（DRA）的授权，
重点关注 ResourceClaim 状态更新的最小权限访问。
你必须拥有一个 Kubernetes 的集群，且必须配置 kubectl 命令行工具让其与你的集群通信。 建议运行本教程的集群至少有两个节点，且这两个节点不能作为控制平面主机。 如果你还没有集群，你可以通过 Minikube 构建一个你自己的集群，或者你可以使用下面的 Kubernetes 练习环境之一：
要获知版本信息，请输入 kubectl version.
你必须拥有一个 Kubernetes 的集群，且必须配置 kubectl 命令行工具让其与你的集群通信。 建议运行本教程的集群至少有两个节点，且这两个节点不能作为控制平面主机。 如果你还没有集群，你可以通过 Minikube 构建一个你自己的集群，或者你可以使用下面的 Kubernetes 练习环境之一：
要获知版本信息，请输入 kubectl version.
记录哪些身份（通常为 ServiceAccount）在你的集群中更新 ResourceClaim 状态。 典型的写入者包括：
从 Kubernetes v1.36 开始，DRA 状态更新除了需要 resourceclaims/status 外，
还需要合成子资源权限。
应用允许绑定相关更新的角色：
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
name: dra-binding-updater
rules:
- apiGroups: ["resource.k8s.io"]
resources: ["resourceclaims/status"]
verbs: ["get", "patch", "update"]
- apiGroups: ["resource.k8s.io"]
resources: ["resourceclaims/binding"]
verbs: ["patch", "update"]
为节点本地驱动程序使用节点感知的动词：
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
name: dra-node-driver-status-updater
rules:
- apiGroups: ["resource.k8s.io"]
resources: ["resourceclaims/status"]
verbs: ["get", "patch", "update"]
- apiGroups: ["resource.k8s.io"]
resources: ["resourceclaims/driver"]
verbs: ["associated-node:patch", "associated-node:update"]
resourceNames: ["dra.example.com"]
仅对必须从任何节点更新的组件使用 arbitrary-node:*：
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
name: dra-multinode-status-updater
rules:
- apiGroups: ["resource.k8s.io"]
resources: ["resourceclaims/status"]
verbs: ["get", "patch", "update"]
- apiGroups: ["resource.k8s.io"]
resources: ["resourceclaims/driver"]
verbs: ["arbitrary-node:patch", "arbitrary-node:update"]
resourceNames: ["dra.example.com"]
为每个组件身份创建 ClusterRoleBinding 对象，
并避免在不相关的 DRA 组件之间共享宽泛的角色。
尽可能使用 resourceNames 限制 resourceclaims/driver 规则，
以便身份只能写入其操作的特定 DRA 驱动程序的状态。
resourceclaims/binding 和
resourceclaims/driver 请求。