配置RBAC访问Kubernetes自定义指标API失败，寻求解决方案

以下是针对你遇到的问题的排查和解决步骤：

• 验证权限绑定有效性
  先确认你的ServiceAccount和ClusterRole的绑定是否正确生效，执行以下命令：

  kubectl auth can-i get --as=system:serviceaccount:<你的SA命名空间>:<SA名称> --all-namespaces custom.metrics.k8s.io/*
  

  如果返回no，检查ClusterRoleBinding的subjects字段，确保ServiceAccount的名称和命名空间完全匹配：

  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRoleBinding
  metadata:
    name: the-thing-binding
  roleRef:
    apiGroup: rbac.authorization.k8s.io
    kind: ClusterRole
    name: the-thing
  subjects:
  - kind: ServiceAccount
    name: <你的SA名称>
    namespace: <SA所在命名空间>
  

• 精准配置自定义指标资源权限
  你的自定义指标是关联到Service的，资源格式为services/{metric}，虽然ClusterRole里用*理论上能匹配，但可能存在通配符匹配的边缘情况。修改ClusterRole的对应规则为更精准的配置：

  - apiGroups:
      - custom.metrics.k8s.io
    resources:
      - "services/*"
    verbs:
      - get
      - list
  

  之后重新应用ClusterRole和ClusterRoleBinding。

• 查看Pod日志定位具体错误
  直接查看业务服务Pod的日志，寻找403 Forbidden相关的错误信息，这类日志会明确指出缺少的权限细节：

  kubectl logs <你的Pod名称> -n <命名空间>
  

  比如日志可能显示services/<你的metric名称> is forbidden，这就能直接确认权限缺失的具体资源。

• 在Pod内直接测试API访问
  进入Pod内部，用curl调用自定义指标API，验证具体的请求结果：

  kubectl exec -it <你的Pod名称> -n <命名空间> -- curl -k -H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" https://kubernetes.default.svc/apis/custom.metrics.k8s.io/v1beta1/namespaces/{你的命名空间}/services/{你的服务名称}/{你的指标名称}
  

  根据返回的错误码和信息，进一步定位问题（比如403是权限，404是路径或指标不存在）。

• 检查自定义指标服务的授权配置
  确保暴露自定义指标的服务本身正确集成了Kubernetes的RBAC授权机制，没有额外的权限拦截逻辑，比如是否正确使用了Kubernetes API Server的认证代理，或者是否有自定义的权限校验规则。

内容的提问来源于stack exchange，提问作者Goncalo Oliveira