使用Zabbix监控Kubernetes集群时，安装Zabbix Proxy出现401未授权错误

• ServiceAccount权限配置不完整
  Zabbix Proxy使用的ServiceAccount（SA）缺少必要的Kubernetes API访问权限。检查绑定的ClusterRole/Role是否包含了Zabbix需要监控的资源（如nodes、pods、services、endpoints等）的list、watch、get权限，同时确认ClusterRoleBinding/RoleBinding是否正确将该SA与权限绑定。

• Token有效性或匹配错误

  • 确认你使用的token属于目标SA：通过kubectl describe sa <zabbix-sa-name>查看关联的secret，再执行kubectl get secret <secret-name> -o jsonpath='{.data.token}' | base64 -d获取明文token，对比Helm安装时填入的token是否完全一致。
  • 检查token是否过期：部分集群的SA token有有效期限制，若已过期，需重新生成对应的secret。

• Helm Chart参数配置错误

  • 安装Helm Chart时，是否正确指定了serviceAccount.token参数，避免误填其他SA的token或配置项。
  • 确认Kubernetes API服务器地址配置正确，Proxy Pod需能正常访问API服务器地址，否则可能因请求路由错误导致认证失败。

• Kubernetes集群认证模式问题

  • 确认集群API服务器启用了RBAC模式：检查API服务器启动参数--authorization-mode是否包含RBAC，未启用RBAC的话，SA的权限配置不会生效。
  • 若集群使用了额外的认证机制（如OIDC、客户端证书），需确认SA token认证方式被允许，避免API服务器拒绝token认证请求。

• 网络访问限制
  在Zabbix Proxy Pod内执行测试命令，验证token和API访问是否正常：

  curl -H "Authorization: Bearer <你的SA token>" https://<K8s API服务器地址>/api/v1/nodes
  

  如果同样返回401，说明是token或权限问题；如果是连接失败，需排查NetworkPolicy、防火墙等是否限制了Proxy Pod到API服务器的访问。

内容的提问来源于stack exchange，提问作者Farruhbek Shamsutdinov