Kubernetes CronJob权限问题：无法获取Pod资源

问题根源 #

错误日志明确指出：

Error from server (Forbidden): pods "vault-0" is forbidden: User "system:serviceaccount:vault:vault-automation" cannot get resource "pods" in API group "" in the namespace "vault"

执行kubectl exec操作时，Kubernetes API会先校验获取目标Pod的权限（即pods资源的get权限），再校验pods/exec的操作权限。你的当前Role仅配置了pods/exec相关权限，缺少pods资源的访问权限，因此触发Forbidden错误。

修复步骤 #

1. 更新Role配置 #

修改exec-role，添加pods资源的get权限（若需批量操作可补充list/watch）：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: vault
  name: exec-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get"]
- apiGroups: [""]
  resources: ["pods/exec"]
  verbs: ["create", "exec"]

注：pods/exec的get/list/watch并非必要权限，实际执行exec仅需create和exec，可精简配置。

2. 应用配置更新 #

执行命令更新Role：

kubectl apply -f <你的role配置文件路径>

3. 验证权限配置 #

用ServiceAccount模拟权限检查：

kubectl auth can-i get pods -n vault --as=system:serviceaccount:vault:vault-automation
kubectl auth can-i create pods/exec -n vault --as=system:serviceaccount:vault:vault-automation

若返回yes，则权限配置正确。

4. 测试CronJob #

手动触发CronJob验证修复效果：

kubectl create job --from=cronjob/delete-namespace-cronjob test-renew-token -n vault

查看Pod日志确认无权限错误：

kubectl logs <test-job-pod-name> -n vault

额外优化建议 #

• CronJob名称delete-namespace-cronjob与实际功能（续签Vault令牌）不符，建议修改为vault-token-renew-cronjob，避免混淆。
• 若Vault集群有多个Pod，可使用标签选择器（如kubectl exec -l app=vault -n vault -- vault token renew ...），避免硬编码Pod名称vault-0，提升鲁棒性。

内容的提问来源于stack exchange，提问作者poisoned_monkey