安装Prometheus Operator监控K8S集群时遇权限错误求助

这是典型的Helm Tiller权限不足导致的问题——默认的kube-system:default服务账号没有集群级CRD（自定义资源定义）的操作权限，而Prometheus-Operator安装过程中需要创建、甚至清理相关CRD资源，所以触发了权限禁止报错。

问题根源 #

Helm 2的Tiller组件默认使用kube-system命名空间下的default服务账号，这个账号的权限非常有限，没有集群范围的CRD管理权限。而Prometheus-Operator依赖多个自定义资源（比如alertmanagers.monitoring.coreos.com），安装流程中需要对这些CRD执行创建、删除或更新操作，权限不足就会抛出这个错误。

快速解决方案 #

给Tiller分配一个拥有集群管理员权限的专用服务账号，步骤如下：

1. 创建Tiller专用服务账号

kubectl create serviceaccount tiller --namespace kube-system

2. 绑定集群管理员角色到该账号

kubectl create clusterrolebinding tiller-cluster-admin --clusterrole=cluster-admin --serviceaccount=kube-system:tiller

3. 更新Tiller Deployment使用新的服务账号

kubectl patch deploy --namespace kube-system tiller-deploy -p '{"spec":{"template":{"spec":{"serviceAccount":"tiller"}}}}'

完成以上操作后，重新执行你的安装命令即可：

helm install stable/prometheus-operator --name prometheus-operator --namespace monitoring

精细化权限控制（可选） #

如果不想给Tiller全集群管理员权限，你可以创建一个自定义ClusterRole，仅开放apiextensions.k8s.io组下customresourcedefinitions资源的create、delete、update、get、list、watch权限，再绑定到Tiller的服务账号。不过对于测试环境或快速排查问题，直接使用集群管理员权限是最高效的方式。

内容的提问来源于stack exchange，提问作者nguyennd