使用Kubernetes Java Client创建Pod时遇Forbidden异常的解决方法

你遇到的Forbidden错误是因为当前操作使用的Kubernetes身份（ServiceAccount或用户）没有在default命名空间创建Pod的权限，下面是具体的排查和解决步骤：

1. 确认当前使用的身份 #

• 如果程序在集群内的Pod中运行，默认会使用Pod绑定的default ServiceAccount，可通过以下命令查看该ServiceAccount的权限情况：

  kubectl describe serviceaccount default -n default
  

• 如果是本地运行程序，会读取kubeconfig中的用户配置，查看当前使用的上下文：

  kubectl config current-context
  

2. 创建RBAC权限绑定 #

Kubernetes通过RBAC控制资源访问，需要给对应的身份赋予创建Pod的权限：

步骤1：定义权限（创建Role） #

创建一个名为pod-creator的Role，允许在default命名空间操作Pod：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-creator
rules:
- apiGroups: [""]  # 核心API组对应空字符串
  resources: ["pods"]
  verbs: ["create", "get", "list", "watch"]  # 至少需要create权限，其他为可选扩展权限

步骤2：绑定权限到身份 #

如果是给集群内的default ServiceAccount绑定权限，创建RoleBinding：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: pod-creator-binding
  namespace: default
subjects:
- kind: ServiceAccount
  name: default
  namespace: default
roleRef:
  kind: Role
  name: pod-creator
  apiGroup: rbac.authorization.k8s.io

如果是给kubeconfig中的用户绑定，将subjects部分替换为：

subjects:
- kind: User
  name: "你的用户名"  # 替换为kubeconfig中对应的用户名
  apiGroup: rbac.authorization.k8s.io

步骤3：应用配置文件 #

执行命令创建Role和RoleBinding：

kubectl apply -f role.yaml && kubectl apply -f rolebinding.yaml

3. 验证权限是否生效 #

用以下命令验证身份是否拥有创建Pod的权限：

# 针对default ServiceAccount的验证命令
kubectl auth can-i create pods -n default --as=system:serviceaccount:default:default

如果返回yes，说明权限配置已生效。

4. 代码相关注意事项 #

• 确保Config.fromCluster()的使用场景正确：该方法适用于集群内运行的程序，从Pod的/var/run/secrets/kubernetes.io/serviceaccount目录加载配置；如果是本地运行，应使用Config.fromKubeconfig()指定kubeconfig文件路径，示例：

  ApiClient client = Config.fromKubeconfig("/path/to/your/kubeconfig");
  

• 确认代码中指定的命名空间（default）和RBAC配置的命名空间一致。

内容的提问来源于stack exchange，提问作者aman kumar chagti