制作 Kubernetes 状态看板 是一个实践项目，适合已掌握 Kubernetes 基础、希望把工作负载身份用于真实工具的学习者。你将为准备好的看板配置专属只读身份，允许它读取两个获准命名空间的 Deployment，同时将员工数据和工作负载修改排除在权限之外。
一个 Guided Lab 从真实 API 拒绝开始，依次创建专属 ServiceAccount、授权第一个命名空间、让新的看板 Pod 使用该身份，再扩展到第二个读取范围。一个独立 Challenge 将相同方法迁移到 Cedar Library，改变身份所在位置和应用命名空间。每个单元都从自己完整、独立的预备环境开始。
最终成果是可用看板、实时 CSV 下载和四份可复用清单。看板展示声明的副本数、控制器报告的可用副本数与 Deployment 模板镜像；它不会把 API 错误当作健康结果，也不会把有意缩容至零的应用误认为故障。
你将学到什么
完成本课程后，你将能够：
- 区分操作者终端的凭据与 Pod 内进程实际使用的身份；
- 创建专属 ServiceAccount，并用目标命名空间的 Role 和 RoleBinding 关联该身份；
- 在保存的 Deployment 清单中选择身份，观察新 Pod 发出真实 API 请求；
- 将
get、list权限扩展到第二个获准命名空间，同时保留对第三个命名空间、Secret 和工作负载修改的拒绝； - 在控制器观察的适用范围内解释期望副本、可用副本和模板镜像；
- 交付当前 CSV 与保存的清单，并保留原应用资源、数据和源码。
本课程适合谁
本课程适合 Kubernetes 学习者和希望从基础走向完整小项目的应用运维入门者。熟悉 Kubernetes in Practice 的访问控制内容会有帮助；Guided Lab 会在使用前解释所需身份与权限字段。
前置知识： 基本终端路径、简单 YAML、命名空间、Pod、Deployment、Service 和标签。不要求应用编程、客户端 SDK 经验、镜像构建或云账号。
学习环境： 真实单节点 Kubernetes 集群、合成应用、预备看板和诊断客户端均已就绪。在 Workspace 编写清单并执行 Kubernetes 命令，在 Board 使用真实页面、详情和 CSV。看板在内部处理自己的投影凭据和证书校验。
常见问题
需要安装 Kubernetes 吗？
不需要。每个单元都提供独立预备的集群与应用。你只操作课程作用域内的对象，不安装或修改集群基础设施。
需要编写看板程序或处理 token 吗？
不需要。客户端和界面已提供。你配置专属工作负载身份、狭窄的命名空间授权与 Deployment 的身份选择，并保持提供的源码不变。
权限测试能证明看板使用了正确身份吗？
给某个身份授权不会自动改变运行中的 Pod。你会核对真实客户端认证后的身份与实际集合、详情读取，同时核对权限和被拒绝的操作。
Challenge 改变了什么？
图书馆场景改变读取者所在位置和两个获准数据命名空间，同时保留一个排除的员工命名空间。你组合已学方法交付完整看板与清单。成果是训练集群中的控制器状态，不是访客鉴权或生产可用性保证。
