用途：该社区技能用于配置 CoreWeave 多团队 GPU 访问的 RBAC 与命名空间隔离。CoreWeave 在 Kubernetes 上运行 GPU 工作负载，因此权限控制直接映射到 K8s 命名空间与 ResourceQuota，每个团队使用独立命名空间并设置 GPU、存储上限和网络策略，避免一个团队的训练任务挤占另一个团队的推理服务。
主要能力：按团队创建命名空间，并在授予工作负载权限前应用 ResourceQuota 与 NetworkPolicy；将 IdP 组绑定到最小合适的 ClusterRole，而非绑定单个用户；通过 SubjectAccessReview 校验动词与资源权限并留存审计记录；定期复核绑定与 ServiceAccount 令牌，及时撤销访问。资料给出角色层级：Cluster Admin（全部命名空间）、Team Lead、ML Engineer、Inference Operator、Viewer（均限本命名空间）。还附有权限检查、命名空间分配、撤销绑定和审计日志的 TypeScript/JSON 示例，以及 GPU 配额超限、RoleBinding 未找到、命名空间未创建、SubjectAccessReview 被拒等错误处理表。
使用方式：需具备组织 IdP 中已验证的人员或工作负载身份组、cluster-admin 对命名空间/配额/RoleBinding 变更的批准、团队负责人、已批准的 GPU 配额和数据分类决定。可用 kubectl auth can-i 验证权限，例如：
kubectl auth can-i create jobs.batch
--as=system:serviceaccount:research:trainer
--namespace=research
预期仅在 research 命名空间返回 yes；若 production 也被允许，需移除过宽绑定并重跑检查。
适用场景：多团队共享 GPU 集群、需要 SOC 2 或 HIPAA 级别的命名空间审计与按团队轮换 API 密钥、需要向财务/管理层开放只读成本可见性。
限制：该技能为社区贡献，与 CoreWeave, Inc. 无隶属、背书或赞助关系；CoreWeave 是其注册商标。具体的 API 密钥轮换周期、审计后端与价格等资料暂未提供。