TA貢獻(xiàn)1898條經(jīng)驗(yàn) 獲得超8個(gè)贊
這個(gè)問(wèn)題是權(quán)限問(wèn)題。由于您正在使用rest.InClusterConfig(config)創(chuàng)建客戶端。這意味著它使用 pod 的服務(wù)帳戶作為憑證。因此，請(qǐng)檢查該服務(wù)帳戶是否具有在任何命名空間中獲取 pod 的權(quán)限。
如果 pod 中的服務(wù)帳戶未定義，則它將使用default服務(wù)帳戶。
如果您的集群中啟用了 RBAC，則檢查該命名空間中的角色綁定，以確定您的服務(wù)帳戶是否具有權(quán)限。
# to see the list of role bindings in 'default' namespace
kubectl get rolebindings --namespace default
查看具體rolebinding
kubectl get rolebindings ROLE-BINDING-NAME --namespace default -o yaml
您還可以創(chuàng)建角色和角色綁定以授予權(quán)限。
TA貢獻(xiàn)1780條經(jīng)驗(yàn) 獲得超5個(gè)贊
以下是我在 minikube 集群上使用的方法，使默認(rèn)服務(wù)帳戶能夠訪問(wèn)公共資源上的 crud 操作。明顯的警告是您需要在真實(shí)集群上小心。
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
name: crud-role
namespace: default
rules:
- apiGroups: ["", "apps", "batch"]
resources: [ "deployments", "jobs", "pods", "replicasets", "services" ]
verbs: [ "create", "get", "list", "delete"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: crud-role-binding
namespace: default
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: Role
name: crud-role
subjects:
- kind: ServiceAccount
name: default
namespace: default
TA貢獻(xiàn)1765條經(jīng)驗(yàn) 獲得超5個(gè)贊
我收到了類似的錯(cuò)誤，但是來(lái)自在默認(rèn)命名空間中使用 golang 客戶端的 pod：
pods 被禁止：用戶“system:serviceaccount:default:default”無(wú)法在集群范圍內(nèi)列出 API 組“”中的資源“pods”
戈蘭代碼片段：
if configMode == "IN_CLUSTER" {
? ? // creates the in-cluster config
? ? config, err := rest.InClusterConfig()
? ? if err != nil {
? ? ? ? panic(err.Error())
? ? }
? ? return config, err
}它僅針對(duì)獲取和列表進(jìn)行了修改：
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
? name: query-role
? namespace: default
rules:
- apiGroups: ["", "apps", "batch"]
? resources: [ "deployments", "jobs", "pods", "replicasets", "services" ]
? verbs: [ "get", "list" ]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
? name: query-role-binding
? namespace: default
roleRef:
? apiGroup: rbac.authorization.k8s.io
? kind: ClusterRole
? name: query-role
subjects:
? - kind: ServiceAccount
? ? name: default
? ? namespace: default
舉報(bào)