创建ClusterRole作为默认计算服务帐户失败，并显示额外权限错误

我正在尝试在私有群集中创建一个新的ClusterRole，我正在从一个Jumpbox管理，但一直打“禁止：尝试授予额外的权限”错误。

我通过gcloud作为默认计算服务帐户进行身份验证，并且具有Kubernetes Engine Admin角色。

我使用了为gcloud服务帐户创建了一个集群角色绑定

kubectl create ClusterRoleBinding sa-admin-binding --ClusterRole=cluster-admin --User=xxxxxxxx-service-account@xxxx.developer.gserviceaccount.com
当我尝试创建群集角色但是我收到以下错误。

服务器出错（禁止）：创建“role.yml”时出错：clusterroles.rbac.authorization.k8s.io“pod-viewer”被禁止：尝试授予额外权限：[{[list] [] [pods] [ ] []}] user =＆{ 115268482330004182284 [system：authenticated] map [user-assertion.cloud.google.com:[AKUJVpkbsn ........

我不明白的是，为什么错误会带有“编号”用户帐户，而不是我通过身份验证的服务帐户。

我可以使用我自己的gmail帐户将ClusterRoleBinding添加到cluster-admin，使用我自己的帐户进行身份验证，然后创建新角色而不会出现问题，但是为服务帐户添加了clusterrolebinding，并且认证为该服务帐户似乎没有授予创建角色的权限。

有趣的是，我可以使用上面的错误中的编号帐户添加clusterrolebinding，这也有效，但不能帮助我编写设置脚本，因为我不知道该数字是提前的，也不是它的来源。