使用Go-Client删除Kubernetes Pod时遇Forbidden权限错误

你的错误明确说明ServiceAccount缺少删除Pod的权限，问题出在Role配置的两个关键错误上：

核心问题点 #

• 重复的Role名称：你定义了两个同名的Role，后一个会直接覆盖前一个，导致部署（deployments）相关的权限完全丢失。
• 错误的API组：Pod属于Kubernetes核心API组（对应apiGroups: [""]），而不是apps组，所以之前的Role规则无法匹配Pod资源的权限校验。

修正后的ServiceAccount配置 #

将所有权限合并到单个Role中，同时修正Pod对应的API组：

{{- $sa := print .Release.Name "-" .Values.serviceAccount -}}
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: {{ $sa }}
  namespace: {{ .Release.Namespace }}

---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: {{ $sa }}
rules:
  # 部署相关权限（apps组）
  - apiGroups: ["apps"]
    verbs: ["patch", "get", "list"]
    resources:
      - deployments
  # Pod相关权限（核心API组，空字符串）
  - apiGroups: [""]
    verbs: ["delete", "get", "list"]
    resources:
      - pods
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: {{ $sa }}
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: {{ $sa }}
subjects:
  - kind: ServiceAccount
    name: {{ $sa }}
    namespace: {{ .Release.Namespace }}

额外验证方法 #

可以用以下命令快速验证权限是否生效：

kubectl auth can-i delete pods --as=system:serviceaccount:default:app-name -n default

内容的提问来源于stack exchange，提问作者Avag Sargsyan