如何让system:node用户的kubelet获取Kubernetes Namespaces对象？

Namespaces是否被特殊处理？ #

Namespaces本身没有特殊的RBAC规则，但Kubernetes默认启用的NodeRestriction Admission Controller会对system:node身份的用户做额外权限限制。这个控制器的核心作用是约束节点用户仅能访问与自身节点相关的资源（比如自身节点上的Pod、Node对象，以及这些Pod关联的Secrets、ConfigMaps等），集群级的Namespaces资源访问会被该控制器拦截——这就是你添加了RBAC规则但仍报错的原因。

解决方法 #

方法1：安全的按需访问（推荐） #

如果你的需求只是检查Pod所属Namespace的标签，不需要列出所有Namespaces，可以调整逻辑并保留现有RBAC规则：

• 让kubelet通过Pod的metadata.namespace字段获取目标Namespace名称，发起单个Namespace的get请求（而非集群级的list请求）。
• NodeRestriction控制器通常允许节点用户获取其节点上Pod所在的Namespace，这种方式既满足需求，又不会过度放开权限。

方法2：放开集群级Namespaces访问（需谨慎） #

如果必须让kubelet能列出所有Namespaces，需要修改kube-apiserver的NodeRestriction配置：

1. 找到kube-apiserver的静态Pod配置文件（通常位于/etc/kubernetes/manifests/kube-apiserver.yaml）；
2. 在--enable-admission-plugins参数中移除NodeRestriction；
3. 保存配置后，kube-apiserver会自动重启生效。

注意：这种方式会降低集群安全性，节点用户将获得更多集群级资源的访问权限，仅在测试环境或特殊场景下使用。

方法3：验证RBAC绑定有效性 #

如果上述方法仍不生效，先确认RBAC规则是否正确应用：

1. 检查system:node ClusterRole的规则是否已更新：

kubectl get clusterrole system:node -o yaml

2. 检查system:node ClusterRoleBinding是否绑定到system:nodes组：

kubectl get clusterrolebinding system:node -o yaml

3. 等待RBAC缓存刷新（通常1-2分钟），或重启kubelet进程。

内容的提问来源于stack exchange，提问作者kaus