OpenShift 4.3.3试用版权限问题：如何获取cluster-admin以root运行容器

首先得明确一个核心点：OpenShift Online免费试用版是共享托管集群，你的"admin"权限仅针对自己创建的项目，而非集群级的cluster-admin权限——这是你遇到所有权限问题的根源。下面一步步帮你解决：

1. 正确让容器以root身份运行（无需cluster-admin） #

你不需要集群级权限，只需要在自己的项目范围内调整权限即可：

• 如果你想让项目内的默认服务账户（default SA）能以任意UID（包括root）运行容器，执行这条命令：

  oc policy add-role-to-user anyuid -z default -n <你的项目名称>
  

• 如果你想让自己的用户账户拥有这个权限，执行：

  oc policy add-role-to-user anyuid hustlin -n <你的项目名称>
  

这里的anyuid是项目级角色，允许指定主体绕过OpenShift默认的UID限制，完全满足你以root运行容器的需求，不需要碰集群级的cluster-admin角色（那是平台管理员才有的权限）。

2. 解释你遇到的权限错误 #

• 执行oc policy add-role-to-group cluster-admin anyuid报错：因为cluster-admin是集群级角色，你作为普通租户用户没有权限授予别人（或自己）这个角色——托管集群的集群权限完全由Red Hat管控。
• 管理员视图无法访问cluster-admin角色绑定页面：同样是因为cluster级资源（比如集群范围的rolebindings）不对普通租户开放，你只能查看和操作自己项目内的资源。

3. 关于oc login -u system:admin和oadm命令的问题 #

• system:admin是自托管OpenShift集群的本地集群管理员账户，在OpenShift Online这种托管环境中根本不允许普通用户使用，所以登录失败是正常的。
• oadm是OpenShift 3.x的旧命令，OpenShift 4.x已经统一使用oc adm，但即使你换成这个命令，托管集群里的普通用户也没有权限执行大部分集群级的oc adm操作，因为这些操作需要cluster-admin权限。

4. 解决容器CrashLoopBackOff问题 #

等你配置好anyuid权限后，先查看容器的具体错误日志，定位问题：

oc logs <你的Pod名称>
# 如果是崩溃重启的Pod，可以查看上一次启动的日志
oc logs <你的Pod名称> --previous

常见原因除了权限问题，还可能是容器启动脚本错误、依赖缺失、端口被占用等，通过日志就能快速定位。

内容的提问来源于stack exchange，提问作者Hustlin