Kubeflow问题：从流水线运行视图访问Minio制品时RBAC权限拒绝

针对你遇到的Kubeflow Dashboard访问制品时RBAC拒绝，但手动登录Minio正常的问题，可从以下几个位置配置授权：

• 检查Kubeflow Profile的RBAC配置
  每个Kubeflow用户对应一个Profile（独立命名空间），需确保该Profile下的默认ServiceAccount（如default-editor）拥有访问Minio的权限：

  1. 查看当前Profile的角色与绑定：kubectl get role,rolebinding -n <你的Profile命名空间>
  2. 创建针对Minio资源的Role，示例规则：

     apiVersion: rbac.authorization.k8s.io/v1
     kind: Role
     metadata:
       name: minio-bucket-access
       namespace: <Minio所在命名空间>
     rules:
     - apiGroups: ["minio.min.io"]
       resources: ["buckets"]
       verbs: ["get", "list", "update"]
     - apiGroups: [""]
       resources: ["services"]
       verbs: ["get"]
     

  3. 将该Role绑定到Profile的default-editor ServiceAccount：

     apiVersion: rbac.authorization.k8s.io/v1
     kind: RoleBinding
     metadata:
       name: profile-minio-binding
       namespace: <Minio所在命名空间>
     subjects:
     - kind: ServiceAccount
       name: default-editor
       namespace: <你的Profile命名空间>
     roleRef:
       kind: Role
       name: minio-bucket-access
       apiGroup: rbac.authorization.k8s.io
     

• 验证Minio Operator的RBAC设置
  若使用Minio Operator部署Minio，需确认Kubeflow相关ServiceAccount被允许访问Minio Operator的CRD资源：

  • 查看Minio命名空间下的ClusterRole/RoleBinding，确保包含Kubeflow Profile的ServiceAccount或对应的组。

• 检查Istio授权策略
  由于你通过Istio Ingress访问Dashboard，需确认Istio未拦截Minio相关请求：

  1. 查看istio-system命名空间的授权策略：kubectl get authorizationpolicy -n istio-system
  2. 添加允许Kubeflow命名空间内服务访问Minio服务的策略，示例：

     apiVersion: security.istio.io/v1beta1
     kind: AuthorizationPolicy
     metadata:
       name: allow-kubeflow-minio-access
       namespace: istio-system
     spec:
       selector:
         matchLabels:
           app: minio
       action: ALLOW
       rules:
       - from:
         - source:
             namespaces: ["<你的Profile命名空间>", "kubeflow"]
       to:
         - operation:
             methods: ["GET", "POST", "PUT"]
     

• 确认Kubeflow Pipeline运行时权限
  Kubeflow Pipeline运行使用的pipeline-runner ServiceAccount也需拥有Minio访问权限：

  • 绑定之前创建的minio-bucket-access Role到pipeline-runner：

    apiVersion: rbac.authorization.k8s.io/v1
    kind: RoleBinding
    metadata:
      name: pipeline-runner-minio-binding
      namespace: <Minio所在命名空间>
    subjects:
    - kind: ServiceAccount
      name: pipeline-runner
      namespace: kubeflow
    roleRef:
      kind: Role
      name: minio-bucket-access
      apiGroup: rbac.authorization.k8s.io
    

内容的提问来源于stack exchange，提问作者Vladyslav Libov