��细化和定制。</p><h3 id=Kubernetes-rbac-for-Istio-control-plane-resources>Istio 控制面的 Kubernetes RBAC 设置</h3><p>租户管理员应该被限制在单独的 Istio 命名空间中，要完成这个限制，集群管理员需要创建一个清单，其中至少要包含一个 <code>Role</code> 和 <code>RoleBinding</code> 的定义，类似下面的文件所示。例子中定义了一个租户管理员，命名为 *sales-admin*，他被限制在命名空间 <code>istio-system1</code> 之中。