k8s (in)security

Удобная команда для kubectl чтобы посмотреть, что может делать тот или иной ServiceAccount:

kubectl auth can-i <verb> <resource> --as=system:serviceaccount:<namespace>:<serviceaccountname> [-n <namespace>]

А с помощью аргумента --list можно посмотреть все что разрешено.