Airflow使用KubernetesPodOperator时ServiceAccount权限403错误自动配置咨询

你收到的403 Forbidden报错，核心原因是Airflow Worker使用的ServiceAccount system:serviceaccount:airflow10:airflow-worker-serviceaccount 没有default命名空间下Pod资源的list、create等操作权限，以下是无需手动执行kubectl命令的自动配置方案：

方案1：通过Airflow官方Helm Chart配置（最推荐） #

如果使用Airflow官方Helm Chart部署实例，直接修改values.yaml配置即可，升级/部署时Chart会自动创建对应权限资源：

worker:
  serviceAccount:
    create: true
    name: airflow-worker-serviceaccount
    # 给Worker ServiceAccount绑定对应集群角色
    extraClusterRoles:
      - pod-creator
# 自定义集群角色规则，无需提前手动创建
extraClusterRoles:
  - name: pod-creator
    rules:
      - apiGroups: [""]
        resources: ["pods"]
        verbs: ["create", "get", "list", "watch"]

配置完成后执行helm upgrade <你的Airflow发布名> apache-airflow/airflow -f values.yaml即可自动同步权限。

方案2：权限清单与Airflow部署清单统一管理 #

如果手动通过YAML文件部署Airflow，将ClusterRole、ClusterRoleBinding的定义和Airflow的Deployment/StatefulSet等部署清单放在同一目录，部署时统一执行kubectl apply -f <目录路径>，即可一次性创建所有资源，无需单独执行权限创建命令。
对应权限资源清单示例：

# ClusterRole定义
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pod-creator
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["create", "get", "list", "watch"]
---
# ClusterRoleBinding定义
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: pod-creator-clusterrolebinding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: pod-creator
subjects:
- kind: ServiceAccount
  name: airflow-worker-serviceaccount
  namespace: airflow10

方案3：Airflow DAG一次性初始化配置 #

如果需要在Airflow运行时内部自动配置权限，可以编写一个仅执行一次的初始化DAG：

• 前提：该DAG使用的ServiceAccount需要拥有创建ClusterRole、ClusterRoleBinding的RBAC权限
• DAG中可以通过Kubernetes Python客户端直接调用API创建权限资源，也可以在容器中调用kubectl命令执行创建操作

如果你的KubernetesPodOperator只会在固定命名空间下创建Pod，建议使用命名空间级别的Role和RoleBinding替代集群级的ClusterRole，收敛权限范围，安全性更高。

内容的提问来源于stack exchange，提问作者adan11