如何通过Helm模板确定Sentry部署所需的Kubernetes权限？

尝试通过Helm Chart安装Sentry时执行命令：

helm install sentry sentry/sentry -f values.yaml

出现以下错误：

coalesce.go:175: warning: skipped value for kafka.config: Not a table.
Error: INSTALLATION FAILED: rendered manifests contain a resource that already exists. Unable to continue with install: could not get information about the resource NetworkPolicy "sentry-kafka" in namespace "gopikab": networkpolicies.networking.k8s.io "sentry-kafka" is forbidden: User "system:serviceaccount:kube-system:gopikab" cannot get resource "networkpolicies" in API group "networking.k8s.io" in the namespace "gopikab"

已通过helm template命令获取到模板输出，其中包含RabbitMQ相关的Role和RoleBinding内容：

# Source: sentry/charts/rabbitmq/templates/role.yaml
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: sentry-rabbitmq-endpoint-reader
  namespace: "gopikab"
  labels:
    app.kubernetes.io/name: rabbitmq
    helm.sh/chart: rabbitmq-11.16.2
    app.kubernetes.io/instance: sentry
    app.kubernetes.io/managed-by: Helm
    app.kubernetes.io/version: "3.11.18"
rules:
  - apiGroups: [""]
    resources: ["endpoints"]
    verbs: ["get"]
  - apiGroups: [""]
    resources: ["events"]
    verbs: ["create"]
---
# Source: sentry/charts/rabbitmq/templates/rolebinding.yaml
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: sentry-rabbitmq-endpoint-reader
  namespace: "gopikab"
  labels:
    app.kubernetes.io/name: rabbitmq
    helm.sh/chart: rabbitmq-11.16.2
    app.kubernetes.io/instance: sentry
    app.kubernetes.io/managed-by: Helm
    app.kubernetes.io/version: "3.11.18"
subjects:
  - kind: ServiceAccount
    name: sentry-rabbitmq
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: sentry-rabbitmq-endpoint-reader
---

1. 从Role里提取权限规则 #

直接看Role的rules字段，就能明确这个角色拥有的权限，每条规则包含三个核心部分：

• apiGroups：权限生效的Kubernetes API组。空字符串""对应核心API组（比如pods、endpoints这类不带组名的资源）；像networking.k8s.io这类值，对应网络策略、Ingress等资源所属的组。
• resources：权限作用的具体资源类型，比如endpoints、events、networkpolicies。
• verbs：允许对资源执行的操作，比如get、create、list、update等。

以你提供的RabbitMQ Role为例：

• 允许对核心API组的endpoints资源执行get操作
• 允许对核心API组的events资源执行create操作

2. 通过RoleBinding关联权限与服务账号 #

RoleBinding的subjects字段指定了被授予权限的对象（这里是sentry-rabbitmq服务账号），roleRef字段绑定到对应的Role，意味着该服务账号拥有Role中定义的所有权限。

3. 解决当前权限缺失问题 #

从报错信息可知，你使用的system:serviceaccount:kube-system:gopikab账号，缺少gopikab命名空间下networking.k8s.io组中networkpolicies资源的get权限。解决步骤：

• 检查Helm模板中是否存在networkpolicies资源定义
• 新建或更新Role，添加对networkpolicies.networking.k8s.io资源的get权限（若有需求，可追加list、watch等操作）
• 将该Role绑定到system:serviceaccount:kube-system:gopikab服务账号

4. 完整梳理所有部署权限的步骤 #

• 执行命令helm template sentry sentry/sentry -f values.yaml > sentry-manifests.yaml，将所有模板输出保存到文件
• 搜索文件中所有kind: Role和kind: ClusterRole资源，逐个解析rules字段，整理出所有需要的API组、资源和操作
• 搜索文件中所有RoleBinding和ClusterRoleBinding，确认哪些服务账号需要绑定这些角色
• 对比当前执行安装的账号权限，补充缺失的权限规则

内容的提问来源于stack exchange，提问作者Helena