Kubernetes Deployment Pod无法创建 求排查方向

核心问题定位 #

从ReplicaSet事件日志里可以明确看到关键错误：

Error creating: pods "consumer-deployment-8487d9fdf6-" is forbidden: error looking up service account default/spring-boot: serviceaccount "spring-boot" not found

这说明Deployment指定使用的spring-boot服务账号在default命名空间下不存在，这是Pod无法创建的直接原因。

具体排查与修复步骤 #

• 检查服务账号是否存在
  执行命令确认default命名空间下的服务账号列表：

  kubectl get serviceaccounts -n default
  

  如果输出里没有spring-boot，说明该账号已被删除或从未创建。

• 重新创建缺失的服务账号
  直接在default命名空间创建spring-boot服务账号：

  kubectl create serviceaccount spring-boot -n default
  

• 验证Deployment的服务账号配置
  查看Deployment的YAML配置，确认Pod模板里指定的服务账号名称和命名空间是否正确：

  kubectl get deployment consumer-deployment -o yaml
  

  重点检查spec.template.spec.serviceAccountName字段的值是否为spring-boot，且所属命名空间为default。

• 修复RBAC权限绑定（若之前存在）
  如果该服务账号之前绑定了RBAC角色（比如权限规则），需要确认绑定关系是否还存在：

  # 查看命名空间内的角色绑定
  kubectl get rolebindings -n default
  # 查看集群级角色绑定
  kubectl get clusterrolebindings
  

  若绑定丢失，重新创建绑定（示例：绑定名为spring-boot-role的角色）：

  kubectl create rolebinding spring-boot-binding --role=spring-boot-role --serviceaccount=default:spring-boot -n default
  

• 触发Deployment滚动更新
  修复完成后，让Deployment重新生成Pod：

  kubectl rollout restart deployment consumer-deployment
  

额外排查方向 #

• 检查是否有自动化脚本、误操作删除了服务账号（docker system prune不会影响Kubernetes资源，可排除这个操作的影响）
• 确认Kubernetes核心组件状态正常：

  kubectl get pods -n kube-system
  

  确保kube-controller-manager、kube-scheduler等组件Pod处于Running状态。

内容的提问来源于stack exchange，提问作者trey