Kubernetes 1.21 模拟组身份请求被拒绝该如何解决？

问题根因 #

你收到的impersonation request has been denied报错，本质是执行kubectl命令的当前账号，没有被Kubernetes RBAC授予模拟（impersonate）指定用户、用户组的权限，和目标模拟用户本身的操作权限无关。

配置步骤 #

你可以根据使用场景选择以下两种配置方案：

方案1：允许模拟所有身份（测试环境用） #

1. 创建允许模拟所有用户、用户组、服务账号的ClusterRole：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: allow-impersonate-all
rules:
- apiGroups: [""]
  resources: ["users", "groups", "serviceaccounts"]
  verbs: ["impersonate"]

2. 创建ClusterRoleBinding，将上述角色绑定到你的当前账号：
   你可以执行kubectl config view --minify -o jsonpath='{.users[*].user.username}'查询当前kubectl上下文对应的用户名，替换配置中的<your-current-username>占位符

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: impersonate-all-binding
subjects:
- kind: User
  name: <your-current-username>
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: allow-impersonate-all
  apiGroup: rbac.authorization.k8s.io

3. 应用配置：

kubectl apply -f allow-impersonate-all.yaml
kubectl apply -f impersonate-all-binding.yaml

方案2：仅允许模拟指定身份（生产环境用） #

如果需要做权限精细化控制，只放开你需要的模拟权限，可以缩小ClusterRole的权限范围：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: allow-impersonate-specific
rules:
# 允许模拟dmitry用户
- apiGroups: [""]
  resources: ["users"]
  verbs: ["impersonate"]
  resourceNames: ["dmitry"]
# 允许模拟指定用户组
- apiGroups: [""]
  resources: ["groups"]
  verbs: ["impersonate"]
  resourceNames: ["system:masters", "team:sso:bolrdswp-devops"]

后续绑定步骤和方案1一致，仅需要将ClusterRole名称替换为allow-impersonate-specific即可。

配置验证 #

配置完成后重新执行原来的权限校验命令，如果返回yes或no说明模拟权限已正常生效，返回结果即为目标用户在对应组下的实际操作权限。

内容的提问来源于stack exchange，提问作者DmitrySemenov