使用Terraform Helm Provider部署Helm Chart时权限错误解决

问题根源 #

使用的服务主体（对象ID：3df53t-3fea-48b4-a932-3061e1fec6cc）在helmrelname-test命名空间下没有secrets资源的list权限。Helm在部署/管理Release过程中，需要查询命名空间内的Secrets确认Release状态，因此触发权限报错。

解决方案：为服务主体绑定Kubernetes RBAC权限 #

需要给该服务主体在目标命名空间下分配可查看Secrets的最小权限，以下提供三种实现方式：

方式1：用Terraform定义RBAC资源 #

直接在现有Terraform代码中添加Role和RoleBinding资源，确保在Helm Release创建前完成权限绑定：

# 定义允许查看Secrets的Role
resource "kubernetes_role" "helm_spn_secret_access" {
  metadata {
    name      = "helm-secret-access"
    namespace = "helmrelname-test"
  }

  rule {
    api_groups = [""]  # 核心API组对应空字符串
    resources  = ["secrets"]
    verbs      = ["list", "get", "watch"]  # Helm需要的最小权限
  }

  # 依赖命名空间创建完成
  depends_on = [helm_release.helmrelname]
}

# 将Role绑定到目标服务主体
resource "kubernetes_role_binding" "helm_spn_secret_binding" {
  metadata {
    name      = "helm-secret-binding"
    namespace = "helmrelname-test"
  }

  role_ref {
    api_group = "rbac.authorization.k8s.io"
    kind      = "Role"
    name      = kubernetes_role.helm_spn_secret_access.metadata[0].name
  }

  subject {
    kind = "User"
    name = "3df53t-3fea-48b4-a932-3061e1fec6cc"  # 替换为你的服务主体对象ID
  }

  depends_on = [kubernetes_role.helm_spn_secret_access]
}

# 更新Helm Release资源，依赖RoleBinding完成
resource "helm_release" "helmrelname" {
  # 原有配置不变...
  
  depends_on = [data.test.config, kubernetes_role_binding.helm_spn_secret_binding]
}

方式2：用kubectl手动创建RBAC资源 #

如果不想修改Terraform代码，可以直接通过YAML文件创建权限绑定：

1. 创建role.yaml文件：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: helm-secret-access
  namespace: helmrelname-test
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["list", "get", "watch"]

2. 创建role-binding.yaml文件：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: helm-secret-binding
  namespace: helmrelname-test
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: helm-secret-access
subjects:
- kind: User
  name: "3df53t-3fea-48b4-a932-3061e1fec6cc"

3. 执行命令应用配置：

kubectl apply -f role.yaml
kubectl apply -f role-binding.yaml

方式3：AKS环境使用Azure RBAC（可选） #

如果你的集群是Azure AKS且启用了Azure AD RBAC，可以直接通过Azure CLI给服务主体分配权限：

az role assignment create \
  --assignee "3df53t-3fea-48b4-a932-3061e1fec6cc" \
  --role "Azure Kubernetes Service RBAC Reader" \
  --scope "/subscriptions/<你的订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.ContainerService/managedClusters/<AKS集群名>/namespaces/helmrelname-test"

注意：此角色权限较宽，若需最小权限建议使用自定义Kubernetes Role。

内容的提问来源于stack exchange，提问作者mystack