GCP服务账户无Tekton EventListener及Interceptor权限问题排查

问题根源 #

1. 你的bitbucket-role中未包含triggers.tekton.dev组下的interceptors资源权限，而Bitbucket拦截器需要访问该资源来完成事件处理。
2. 多个RBAC规则的verbs字段为空，这意味着没有为服务账户赋予任何实际操作权限，即使资源列表正确也无法生效。

修正后的Role配置 #

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: fetebird-common
  name: bitbucket-role
rules:
  # EventListener基础运行权限，补充interceptors资源
  - apiGroups: ["triggers.tekton.dev"]
    resources: ["eventlisteners", "triggerbindings", "triggertemplates", "interceptors"]
    verbs: ["get", "list", "watch"]
  # 访问配置、密钥及服务账户的必要权限（适配Bitbucket拦截器读取SSH密钥需求）
  - apiGroups: [""]
    resources: ["configmaps", "secrets", "serviceaccounts"]
    verbs: ["get", "list", "watch"]
  # 执行TriggerTemplate时创建Tekton资源的权限
  - apiGroups: ["tekton.dev"]
    resources: ["pipelineruns", "pipelineresources", "taskruns"]
    verbs: ["create", "get", "list", "watch"]

应用修正并验证 #

1. 更新Role配置：

kubectl apply -f <修正后的role文件路径> -n fetebird-common

2. 验证服务账户权限：

# 检查是否能列出eventlisteners
kubectl auth can-i list eventlisteners.triggers.tekton.dev -n fetebird-common --as=system:serviceaccount:fetebird-common:gcp-service-account
# 检查是否能列出interceptors
kubectl auth can-i list interceptors.triggers.tekton.dev -n fetebird-common --as=system:serviceaccount:fetebird-common:gcp-service-account
# 检查是否能创建pipelineruns
kubectl auth can-i create pipelineruns.tekton.dev -n fetebird-common --as=system:serviceaccount:fetebird-common:gcp-service-account

如果命令返回yes，说明权限配置生效。

内容的提问来源于stack exchange，提问作者San Jaisy