如何让Kubernetes ApiService的子路由允许公开访问？

问题根源分析 #

你遇到的401 Unauthorized错误，本质是认证阶段就被kube-apiserver拦截，而非授权规则不生效。K8s的请求处理流程是：认证 → 授权 → 准入控制 → 转发到后端，返回401说明请求未通过认证，根本没进入授权阶段。

步骤1：确保kube-apiserver允许匿名访问 #

首先检查kube-apiserver的启动参数，确认以下配置：

• 必须开启--anonymous-auth=true（默认是开启状态，但自定义配置的集群可能被关闭）
• OIDC认证模块默认是可选的，未携带令牌的请求会被标记为system:anonymous用户，无需额外配置强制认证。

如果用kubeadm部署集群，可修改/etc/kubernetes/manifests/kube-apiserver.yaml中的静态Pod配置，添加或确认该参数后重启kube-apiserver。

步骤2：配置精细的RBAC规则（适配K8s资源模型） #

K8s的RBAC基于API资源模型而非原始URL路径，需要先将后端子路由映射为对应的K8s资源/子资源：

• 例如公开端点/apis/wallet.example.org/v1alpha1/wallets/public，对应资源是wallets，子资源是public
• 若端点为/apis/wallet.example.org/v1alpha1/publicinfo，对应资源是publicinfos（K8s要求资源名用复数形式）

示例RBAC配置（针对特定子资源） #

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: wallet-public-endpoint-role
rules:
- apiGroups: ["wallet.example.org"]
  resources: ["wallets/public"] # 替换为你的目标资源+子资源
  verbs: ["get", "post"] # 替换为允许的HTTP方法对应的verbs
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: wallet-public-endpoint-rb
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: wallet-public-endpoint-role
subjects:
- kind: Group
  name: system:unauthenticated
  apiGroup: rbac.authorization.k8s.io
- kind: Group
  name: system:anonymous
  apiGroup: rbac.authorization.k8s.io

步骤3：检查后端服务的认证逻辑 #

如果上述配置完成后仍返回401，大概率是后端服务自身在验证Bearer令牌。kube-apiserver会将认证信息（包括匿名用户标识）通过请求头传递给后端，但如果后端强制要求所有请求携带有效OIDC令牌，就会拒绝匿名请求。

此时需要在my-svc服务中配置豁免规则：

• 在后端框架（如Spring Boot、Express）中添加路径拦截逻辑，跳过公开端点的认证检查
• 允许来自kube-apiserver的匿名请求（可通过请求头X-Remote-User: system:anonymous识别）

关键注意事项 #

• 若后端服务未遵循K8s REST资源规范（比如路径不是/apis/<group>/<version>/<resource>/<name>格式），RBAC无法直接匹配原始URL路径，此时只能通过后端自身配置豁免认证
• 避免为所有资源配置通配符*的RBAC规则，严格限定到需要公开的特定资源/子资源，降低安全风险

内容的提问来源于stack exchange，提问作者cybercoder