配置GKE Autopilot集群IP masquerade agent时ConfigMap创建被禁止报错咨询

报错根因 #

你遇到的权限报错是GKE Autopilot集群的原生特性导致的：Autopilot模式下kube-system命名空间属于Google托管的系统命名空间，默认禁止普通用户直接在该命名空间下执行ConfigMap的创建、修改、删除等操作，避免用户误改系统配置影响集群稳定性。你之前在标准GKE集群可以正常操作，是因为标准集群的kube-system命名空间开放了用户侧的操作权限，和Autopilot的管控逻辑不同。

可行解决方案 #

• 改用gcloud集群配置命令提交IP masquerade规则
  Autopilot集群不支持手动创建kube-system下的ConfigMap，你可以通过gcloud的集群更新/创建参数提交IP masquerade agent配置，GKE后台会自动生成托管的对应ConfigMap，操作命令示例：

# 更新现有Autopilot集群的IP masquerade配置
gcloud container clusters update <集群名称> \
  --region <集群所属区域> \
  --enable-ip-masq-agent \
  --ip-masq-agent-config <本地配置文件路径>

你本地的配置文件不需要封装完整的ConfigMap结构，只需要保留原ConfigMapdata字段下的规则内容即可，示例配置内容如下：

nonMasqueradeCIDRs:
  - 10.0.0.0/8
  - 172.16.0.0/12
  - 192.168.0.0/16
masqLinkLocal: false
resyncInterval: 60s

• 确认集群版本满足要求
  如果执行上述命令时出现不支持的报错，确认你的Autopilot集群版本不低于1.21.0，低于该版本的Autopilot对托管IP masquerade agent的支持不完善，先将集群升级到稳定支持的版本再执行配置操作。
• 验证配置生效
  配置提交完成后，可通过kubectl get configmap ip-masq-agent -n kube-system -o yaml查看已生效的规则，该资源为托管状态，后续修改都需要通过gcloud命令提交，不要手动修改。

内容的提问来源于stack exchange，提问作者Aqap Test