Spring Cloud 2022.0.3升级后ServiceAccount无ConfigMap访问权限问题排查

可能的变更点导致权限报错 #

1. Spring Cloud Kubernetes依赖的行为变更 #

Spring Cloud 2022.0.3（Kilburn版本）对应的spring-cloud-starter-kubernetes-fabric8依赖升级了底层的fabric8 KubernetesClient版本。新版本客户端在加载ConfigMap配置时，新增了前置list操作——旧版本直接通过get请求获取指定ConfigMap，而新版本会先执行list操作筛选目标资源，这就要求ServiceAccount必须具备configmaps的list权限，否则触发权限报错。

2. Spring Boot 3.x配置加载逻辑调整 #

Spring Boot 3.x对外部配置源的加载流程做了优化，Spring Cloud Kubernetes的配置定位器（ConfigMapPropertySourceLocator）启动时的资源查询逻辑发生变化：从单资源精准查询变为批量扫描，导致触发了之前不需要的list请求。

3. fabric8 KubernetesClient权限检查严格化 #

升级后的fabric8客户端对资源访问的验证逻辑更严格，部分场景下默认执行list操作确认资源存在性，而旧版本仅依赖get/watch权限即可完成配置加载。

验证与解决步骤 #

• 快速验证：给目标Role添加configmaps的list权限，重新绑定后重启Pod，若能正常启动，说明确因升级后需要额外的list权限。
• 精准配置：在应用配置中明确指定要加载的ConfigMap名称（通过spring.cloud.kubernetes.config.map-names属性），避免客户端执行全Namespace的ConfigMap扫描，从而跳过list请求，仅使用get权限即可完成配置读取。
• 依赖溯源：对比新旧版本的spring-cloud-starter-kubernetes-fabric8依赖树，查看fabric8 KubernetesClient的版本差异，查阅对应版本的Release Notes，确认是否有资源访问逻辑的明确变更说明。

内容的提问来源于stack exchange，提问作者Alberto San José