K8s Operator调用Kubelet API返回403 Forbidden：权限缺失排查

1. 代码路径构造错误（核心问题） #

你的代码中构造kubeletAPI时错误地包含了http://localhost:8080，而使用RESTClient.AbsPath()时应该传入相对于Kubernetes API Server的路径，而非完整URL。当前错误路径导致API Server无法正确路由到Kubelet代理端点，同时触发了错误的权限检查。

修正后的代码片段：

for _, container := range pod.Spec.Containers {
    // 移除http://localhost:8080前缀，直接使用API Server代理节点的路径
    kubeletAPI := fmt.Sprintf("/api/v1/nodes/%s/proxy/checkpoint/%s/%s/%s", 
        pms.Spec.SourceNode, 
        pms.Spec.Namespace, 
        pms.Spec.PodName, 
        container.Name)
    result := restClient.Post().AbsPath(kubeletAPI).Do(context.TODO())
    // 后续逻辑保持不变
}

2. 权限配置验证 #

从错误信息和你的role.yaml来看，你已经为nodes/proxy资源配置了create verb（对应HTTP POST请求），这部分权限是足够的。但需要确保：

• ClusterRole已经正确绑定到operator的ServiceAccount（通过ClusterRoleBinding或RoleBinding）
• Kubelet的--authorization-mode配置允许通过API Server代理的请求，且对应的RBAC规则生效

3. 额外检查点 #

• 确认目标节点的Kubelet启用了checkpoint功能（部分Kubernetes发行版可能默认关闭）
• 验证operator的ServiceAccount所在Namespace与绑定的RBAC资源匹配

内容的提问来源于stack exchange，提问作者triple fault