GKE标准集群无法进入Pod：kube-apiserver授权错误排查求助

针对报错：

error: unable to upgrade connection: Authorization error (user=kube-apiserver, verb=create, resource=nodes, subresource=proxy)

以下是授权配置相关的排查步骤：

• 检查kube-apiserver的RBAC集群绑定
  执行kubectl get clusterrolebindings | grep kube-apiserver列出关联的绑定，再用kubectl describe clusterrolebinding <绑定名称>查看绑定的ClusterRole权限，确认是否包含nodes/proxy资源的create操作权限。正常GKE集群中，kube-apiserver用户应关联具备完整集群权限的角色（如cluster-admin）。

• 验证kube-apiserver授权模式配置
  查看kube-apiserver Pod的启动参数：kubectl get pods -n kube-system -l component=kube-apiserver -o yaml | grep -A5 -B5 authorization-mode，确认是否同时启用了RBAC和Node模式。若Node模式优先级异常，可能导致权限拦截，需确认授权模式顺序是否符合GKE默认配置。

• 排查GCP IAM与集群权限的联动问题
  用gcloud container clusters describe <集群名称> --zone <集群区域> | grep -i authorization查看集群的IAM授权配置，确认是否存在最近的IAM角色变更（如移除了集群服务账号的Container Admin权限），GKE的kube-apiserver依赖GCP IAM权限同步集群内部RBAC。

• 检查RBAC资源的最近变更记录
  执行kubectl get events -n kube-system | grep -i rbac查看RBAC相关事件，再用kubectl get clusterroles -o wide --sort-by=.metadata.creationTimestamp和kubectl get clusterrolebindings -o wide --sort-by=.metadata.creationTimestamp找出最近修改的RBAC资源，排查是否有自定义策略误删除或修改了nodes/proxy权限。

• 验证节点代理与kube-proxy状态
  检查kube-proxy Pod运行状态：kubectl get pods -n kube-system -l k8s-app=kube-proxy，确保所有实例处于Running状态；再用kubectl describe node <节点名称> | grep -A10 Conditions确认节点的Ready状态正常，节点代理故障也可能触发权限类报错。

内容的提问来源于stack exchange，提问作者Diego Martinez