Kubernetes API：无法列出 API 分组" "中的资源"pods"

Question

我正在尝试制作一个 pod 作为其他 pod 的控制器，基本上根据需要创建和停止它们。我最初创建了一个服务帐户、一个角色、一个角色绑定和一个简单的 Alpine 容器，我可以使用它们来测试curl，所有这些都在一个新的命名空间中。这是我的 YAML 文件：

apiVersion: v1
kind: Namespace
metadata:
name: nfv
labels:
name: nfv
---
apiVersion: v1
kind: ServiceAccount
metadata:
name: nfv-svc
namespace: nfv
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
name: nfv-role
namespace: nfv
rules:
- apiGroups:
- ''
resources:
- 'pods'
verbs:
- 'create'
- 'delete'
- 'get'
- 'list'
- 'patch'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: nfv-rolebind
subjects:
- kind: ServiceAccount
name: nfv-svc
namespace: nfv
roleRef:
kind: Role
name: nfv-role
apiGroup: rbac.authorization.k8s.io
---
apiVersion: v1
kind: Pod
metadata:
name: sdn-test
namespace: nfv
spec:
serviceAccountName: nfv-svc
containers:
- image: alpine:3.9
name: sdn-test-container
command:
- sleep
- "10000"

然后我连接到高山测试容器并执行以下操作：

apk add --update curl
CA_CERT=/run/secrets/kubernetes.io/serviceaccount/ca.crt
NAMESPACE=$(cat /var/run/secrets/kubernetes.io/serviceaccount/namespace)
TOKEN=$(cat /run/secrets/kubernetes.io/serviceaccount/token)
curl -H "Authorization: Bearer $TOKEN" --cacert $CA_CERT https://kubernetes.default/api/v1/namespaces/$NAMESPACE/pods

然后我得到以下输出：

{
"kind": "Status",
"apiVersion": "v1",
"metadata": {

},
"status": "Failure",
"message": "pods is forbidden: User "system:serviceaccount:nfv:nfv-svc" cannot list resource "pods" in API group "" in the namespace "nfv"",
"reason": "Forbidden",
"details": {
"kind": "pods"
},
"code": 403
}

Role应该有足够的权限来列出我的命名空间中的 pod，那么为什么它不起作用呢？我错过了什么？我在 Ubuntu 16.04 上使用 Kubernetes v1.18.2。

Answer 1

RoleBinding中需要有一个命名空间namespace: nfv，因为它是命名空间范围的资源。

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: nfv-rolebind
namespace: nfv
subjects:
- kind: ServiceAccount
name: nfv-svc
namespace: nfv
roleRef:
kind: Role
name: nfv-role
apiGroup: rbac.authorization.k8s.io

要验证权限，您可以使用以下命令

kubectl auth can-i list pods --as=system:serviceaccount:nfv:nfv-svc -n nfv
yes

Answer 2

检查您尝试使用的命名空间和订阅。

每个命名空间都属于某个特定的上下文。请确保已为所需命名空间激活正确的上下文。

检查可用上下文的命令：

kubectl config view --minify --flatten

用于更新上下文的命令如下所示：

az abc get-credentials --resource-group resource-group-rg --name name-goes-here-1 --subscription subscription-account-id-goes-here-1