迁移至Kubeflow v2运行示例流水线遇RBAC权限拒绝错误求助

核心问题分析 #

日志里的RBAC: access denied是根本原因，后续的/tmp/outputs文件找不到错误是驱动容器因权限不足无法初始化工作目录导致的连锁问题。

修复步骤 #

1. 补充KFP服务账户的RBAC权限 #

Kubeflow v2流水线驱动需要访问KFP和Argo的内部资源，确保运行流水线的服务账户（默认是default-editor）拥有足够权限：

• 创建或更新ClusterRoleBinding：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: kfp-driver-rbac-binding
subjects:
- kind: ServiceAccount
  name: default-editor
  namespace: kubeflow
roleRef:
  kind: ClusterRole
  name: kubeflow-pipeline-editor
  apiGroup: rbac.authorization.k8s.io

应用配置：kubectl apply -f rbac-binding.yaml

2. 确认流水线运行的服务账户 #

提交流水线时指定正确的服务账户，CLI方式示例：

kfp run submit --service-account default-editor --pipeline-file pipeline.yaml

如果用Kubeflow UI，确保默认使用的账户权限正常。

3. 验证Argo Workflows配置 #

Kubeflow v2依赖Argo，检查Argo的artifactRepository配置，确保驱动容器能读写/tmp/outputs目录，工作目录权限设置正确。

4. 对齐SDK与后端版本 #

确保本地KFP SDK版本和集群Kubeflow Pipelines后端版本一致：

# 检查本地SDK版本
pip show kfp
# 检查集群后端版本
kubectl get deployment ml-pipeline -n kubeflow -o jsonpath='{.spec.template.spec.containers[0].image}'

排查工具 #

• 验证权限是否生效：

kubectl auth can-i list tasks.kubeflow.org --as=system:serviceaccount:kubeflow:default-editor

• 查看驱动Pod详细日志：

kubectl logs <driver-pod-name> -n kubeflow

内容的提问来源于stack exchange，提问作者Zeid