AWS EKS执行kubectl get namespace遇权限禁止错误求助

问题原因 #

当前kubectl使用的身份是system:node:ip-x-x-x-x.us-east-2.compute.internal，这是EKS集群节点的内置服务账户身份，默认仅拥有节点运维相关权限，没有集群级别的namespace列表权限，因此触发Forbidden错误。

解决步骤 #

方法1：切换到集群管理员身份（推荐） #

集群操作应当使用具备管理员权限的IAM身份，这是最规范的处理方式：

• 先查看当前kubeconfig中的所有上下文：

  kubectl config get-contexts
  

• 找到关联管理员IAM用户的上下文（通常命名包含集群名称），切换到该上下文：

  kubectl config use-context <你的管理员上下文名称>
  

• 如果没有可用的管理员上下文，直接用AWS CLI重新生成绑定IAM权限的kubeconfig：

  aws eks update-kubeconfig --name <你的EKS集群名称> --region <集群所在区域，比如us-east-2>
  

  执行前确保本地AWS CLI已配置具备EKS管理权限的IAM用户（比如附加了AmazonEKSClusterPolicy策略的用户）。

方法2：给节点身份添加namespace列表权限（不推荐） #

如果确实需要让节点身份能查看namespace，可通过RBAC授权实现：

1. 创建允许list namespaces的ClusterRole，保存为node-namespace-role.yaml：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: node-namespace-list
   rules:
   - apiGroups: [""]
     resources: ["namespaces"]
     verbs: ["list"]
   

2. 创建ClusterRoleBinding，将该角色绑定到所有节点用户组，保存为node-namespace-binding.yaml：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: node-namespace-list-binding
   subjects:
   - kind: Group
     name: system:nodes
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: node-namespace-list
     apiGroup: rbac.authorization.k8s.io
   

3. 应用上述配置：

   kubectl apply -f node-namespace-role.yaml -f node-namespace-binding.yaml
   

为什么之前的命令无效 #

你执行的kubectl config set-context --user xx yourclustername需要kubeconfig中已存在xx用户的完整配置信息（如证书、token或IAM关联配置），如果kubeconfig里根本没有这个用户的记录，这条命令不会产生任何效果。

内容的提问来源于stack exchange，提问作者Saurabh Gupta