通过webhook容器创建TaskRun/PipelineRun时RBAC权限不足如何解决

你之前的配置存在3个核心问题，直接导致权限不生效：

1. 命名空间不匹配：Role、RoleBinding属于命名空间级别的资源，仅对其所在命名空间的资源操作生效。你将两份资源都创建在tekton-pipelines命名空间下，无法授予default命名空间的资源操作权限。
2. 资源名称格式错误：Kubernetes RBAC规则要求资源名使用复数形式，taskrun应为taskruns、pipelinerun应为pipelineruns。同时你执行的权限验证命令也使用了单数形式的taskrun，验证结果本身也不准确。
3. API版本兼容问题：新版Tekton已将核心资源迁移至tekton.dev/v1稳定API，仅配置tekton.dev/v1beta1可能存在兼容失效问题。

正确RBAC配置 #

1. 在default命名空间创建自定义Role #

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: webhook-create-tekton-run
  namespace: default
rules:
  - apiGroups: ["tekton.dev"]
    resources: ["taskruns", "pipelineruns"]
    verbs: ["get", "list", "create", "update", "patch", "watch"]

如果需要兼容旧版本Tekton，可以将apiGroups改为["tekton.dev/v1beta1", "tekton.dev"]。

2. 在default命名空间创建RoleBinding绑定服务账号 #

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: webhook-create-tekton-run
  namespace: default
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: webhook-create-tekton-run
subjects:
  - kind: ServiceAccount
    name: default
    namespace: default

3. 验证权限配置 #

执行以下命令验证权限是否生效：

kubectl auth can-i create taskruns -n default --as=system:serviceaccount:default:default
# 预期返回 yes
kubectl auth can-i create pipelineruns -n default --as=system:serviceaccount:default:default
# 预期返回 yes

扩展说明 #

如果你需要让该服务账号有权限在集群所有命名空间创建TaskRun/PipelineRun，将Role替换为ClusterRole、RoleBinding替换为ClusterRoleBinding即可。

内容的提问来源于stack exchange，提问作者Chris G.