如何在Pod中通过Kubernetes API实现Deployment扩缩容？

先看你给出的错误信息里的关键细节：

"message": "deployments.apps "{name}" is forbidden: User "system:serviceaccount:{name}:default" cannot resource "deployments" in API group "apps" in the namespace "{name}""

这里明确显示你的Pod在使用默认的default ServiceAccount，而不是你创建的{name}-sa，这就是权限不足的核心原因。下面分步骤解决问题：

1. 让Pod关联自定义ServiceAccount #

你需要修改目标Deployment的Pod模板，明确指定使用你创建的{name}-sa，否则Pod会自动使用namespace下的default账户。更新你的Deployment YAML：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: {你的Deployment名称}
  namespace: {name}
spec:
  replicas: ...
  template:
    metadata:
      ...
    spec:
      # 关键配置：指定自定义ServiceAccount
      serviceAccountName: {name}-sa
      containers:
      - name: ...
        image: ...

执行kubectl apply -f {你的Deployment文件}.yaml更新后，新启动的Pod就会绑定到你配置好权限的SA上了。

2. 修正API扩缩容的请求方式 #

你之前用PUT方法传递JSON Patch格式的内容是错误的——PUT是全量更新资源，而修改副本数属于增量操作，应该用PATCH方法，并设置正确的请求头。

正确的curl命令如下：

curl --cacert /var/run/secrets/kubernetes.io/serviceaccount/ca.crt \
-H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" \
-H "Content-Type: application/json-patch+json" \
-X PATCH \
-d '[{
  "op": "replace",
  "path": "/spec/replicas",
  "value": 2
}]' \
https://$KUBERNETES_SERVICE_HOST:$KUBERNETES_PORT_443_TCP_PORT/apis/apps/v1/namespaces/{name}/deployments/{你的Deployment名称}

注意两个细节：

• value要传数字2，而不是字符串"2"，否则会触发类型错误
• 把{你的Deployment名称}替换成实际的Deployment名字

3. 权限验证（可选） #

如果还是遇到问题，可以在Pod里先验证当前的ServiceAccount和权限：

# 查看当前Pod使用的ServiceAccount名称
cat /var/run/secrets/kubernetes.io/serviceaccount/token | cut -d '.' -f2 | base64 -d | jq '.kubernetes.io/serviceaccount/service-account.name'

输出应该是{name}-sa，说明Pod已经正确关联了自定义SA。

也可以用kubectl（如果Pod内已安装）快速验证权限：

kubectl auth can-i update deployments -n {name} --as=system:serviceaccount:{name}:{name}-sa

返回yes就说明权限配置完全正确。

内容的提问来源于stack exchange，提问作者user10573594