K8s Operator访问EKS集群Node资源权限不足问题解决与调试

核心原因 #

错误明确显示你的Operator使用的ServiceAccount system:serviceaccount:mike-6mdj7thh:mike-kubernetes-operator-controller-manager 没有集群级的nodes资源list权限——虽然你代码里用的是Get操作，但client-go的缓存反射器（reflector）需要先执行list来同步资源缓存，因此必须具备该权限。本地fakeclient默认跳过RBAC校验，所以不会出现问题。

修复步骤 #

1. 创建ClusterRole赋予Node访问权限 #

创建一个包含nodes资源get和list权限的ClusterRole：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: node-reader
rules:
- apiGroups: [""]  # Node属于核心API组，留空表示核心组
  resources: ["nodes"]
  verbs: ["get", "list"]

2. 绑定ClusterRole到目标ServiceAccount #

创建ClusterRoleBinding，将上面的ClusterRole关联到你的Operator ServiceAccount：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: mike-operator-node-reader
subjects:
- kind: ServiceAccount
  name: mike-kubernetes-operator-controller-manager
  namespace: mike-6mdj7thh
roleRef:
  kind: ClusterRole
  name: node-reader
  apiGroup: rbac.authorization.k8s.io

3. （可选）Operator SDK场景下的配置调整 #

如果你的Operator是用Operator SDK生成的，直接修改config/rbac/role.yaml（将其改为ClusterRole，因为Node是集群级资源），添加对应的rules后重新部署即可。

调试方法 #

1. 验证当前ServiceAccount权限 #

用kubectl直接校验权限是否缺失：

kubectl auth can-i list nodes --as=system:serviceaccount:mike-6mdj7thh:mike-kubernetes-operator-controller-manager
kubectl auth can-i get nodes --as=system:serviceaccount:mike-6mdj7thh:mike-kubernetes-operator-controller-manager

返回no则确认权限未配置。

2. 检查已有RBAC配置 #

查看当前与Operator相关的Role/ClusterRole和绑定关系：

# 查看相关ClusterRole
kubectl get clusterroles | grep mike
# 查看相关ClusterRoleBinding
kubectl get clusterrolebindings | grep mike
# 查看具体Role的权限规则
kubectl describe clusterrole <cluster-role-name>

确认是否包含nodes资源的get/list verbs。

3. 查看Operator缓存同步日志 #

查看Operator的完整日志，确认是否是反射器同步时的权限问题——日志中的reflector.go:167已经明确指向缓存同步阶段的list操作失败，验证了权限缺失的结论。

内容的提问来源于stack exchange，提问作者Mike