Подразумевается делегирование и управление проектом аналогично тому как это сделано в шифте.
Если это оформлять через оператор, то с ростом таких проектов файл рбака превращается в полотно, которое надо вписывать в crd оператора

Перечитываю но пока не понимаю. О каком операторе идёт речь? О каком то из встроенных в ocp? Могу рассказать пока, что мы делаем с Argocd. Процентов 80 манифестов в  Git repo  у нас "системного" (prometheus , grafana, openebs, kuberhealth, vpa  и ещё продуктов 30) для которых один общий argocd project, на котором наш же team - админ. 20% манифестов - юзеровские. Для них для каждого user teama отдельный  argocd project. В каждом argocd project ограничения в какие ns он может синхронизировать и соответствующие roles. Под  project несколько argocd apps. В каждой argo app кроме манифестов ещё rolebindibgs для user team чтобы были ns admin или ns reader и т.д

https://argocd-operator.readthedocs.io/en/latest/reference/argocd/

Там в инстансе прямо описывается policy

Понятно. Это оператор который ставит сам Аргосд. С ним я ещё не работала, т.к у нас арго поставила с помощью самих yaml manifests. Но суть в принципе та же. Либо определение всех policies на уровне самого Арго, и тогда длинный список в этом cr, либо каждый такой policy для отдельного argo project, и тогда много argo projects. Я выбрала второй путь. На уровне Аргосд у нас только argo admin policy. Остальное per argo project

Хммм. Спасибо, покопаю crd argoproject

я же ведь правильно прочитал, что разница всего лишь в том, что в конфигурационном файле указывается количество мастеров равным единице

ну т.е. можно взять и просто поставить "одноногий" кластер?

Я почему-то думал, что сингл-мастер можно было только в  3.11

В OKD такого ограничения нет

приятно удивлён

чтобы поставить 1 мастер в OKD 4.x тебе нужны еще 2 ноды: балансер и бутстрап. Бутстрап потом можно удалить после установки

так они всегда нужны.

1) можно и без балансера, через DNS RR
2) в 4.8 бутстрап нода переиспользуется как мастер

ну балансером, конечно,  может железка выступать

4.8 уже стабилен?

define стабилен? Он от 4.7 не сильно (пока) отличается

(вставить анекдот про "странно, из одного мастера наливали")

а в какой примерно версии принципиальная структура шифта станет более-менее стабильной ?)

внутренняя? Я не думаю что это вообще цель