curl调用Kubernetes Pod exec接口返回403错误问题咨询

问题原因 #

• curl命令语法错误：POST前缺少-X参数标识请求方法，curl会将无参数前缀的POST识别为目标主机，触发Could not resolve host: POST报错。同时URL未用引号包裹，shell会将URL中的&识别为后台执行标识符，导致URL被截断，最终实际发出的是请求参数不全的GET请求，与K8s exec接口要求的POST方法不匹配。
• RBAC权限不足：当前调用API的身份缺少指定命名空间下pod的exec操作权限，K8s的RBAC策略会直接返回403拒绝访问。
• 接口协议不匹配：K8s pod exec接口要求客户端支持SPDY协议升级，普通curl请求未携带协议升级相关头信息，也会被接口拦截。

解决步骤 #

1. 修正curl命令语法：
   添加-X指定POST请求方法，用单引号包裹完整URL避免shell截断，同时补充SPDY协议升级所需的头信息，示例如下：

curl -k -v -X POST 'http://192.168.1.44:5443/api/v1/namespaces/mynamespace/pods/shell-demo/exec?command=bash&command=-c&command=env&container=nginx&stderr=true&stdout=true' \
-H "Connection: Upgrade" \
-H "Upgrade: SPDY/3.1" \
-H "X-Stream-Protocol-Version: v4.channel.k8s.io"

2. 配置对应RBAC权限：
   为调用API的身份绑定包含pod exec权限的角色，示例YAML配置如下：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: mynamespace
  name: pod-exec-role
rules:
- apiGroups: [""]
  resources: ["pods/exec"]
  verbs: ["create"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: pod-exec-rolebinding
  namespace: mynamespace
subjects:
- kind: ServiceAccount
  name: 实际使用的ServiceAccount名称 # 若使用kubeconfig用户身份，可修改subjects对应用户/组
  namespace: mynamespace
roleRef:
  kind: Role
  name: pod-exec-role
  apiGroup: rbac.authorization.k8s.io

配置完成后执行kubectl apply -f 上述yaml文件名即可生效。

3. 如果需要对照官方请求参数，可执行kubectl exec shell-demo -- bash -c env -v=8，查看kubectl发起的完整API请求参数，按需调整自己的curl命令即可。

内容的提问来源于stack exchange，提问作者Aprilian8