使用Terraform创建ClusterRoleBinding时出现RBAC权限被禁止错误如何解决

报错根因 #

该报错由Kubernetes RBAC的权限授予规则触发：要创建包含指定权限的ClusterRole、或是给其他主体绑定对应权限，执行操作的账号（本次为你配置的GKE服务账号）自身必须先持有对应权限，且权限覆盖范围不小于要授予的范围。

排查与解决步骤 #

• 第一步：确认当前执行Terraform操作的身份
  执行以下命令确认kubectl上下文关联的操作账号是否为你配置的GKE服务账号：

  kubectl auth whoami
  

  再验证该账号是否缺少podsecuritypolicies相关权限：

  kubectl auth can-i "*" podsecuritypolicies --as=GKE-service-account-email@project-domain.com
  

  返回no即可确认是权限缺失问题。
• 第二步：给操作账号授予所需权限
  可根据场景选择以下两种方案：
  1. 开发/测试环境（快速生效，生产不推荐）
     直接给该GKE服务账号绑定cluster-admin集群最高权限：

  kubectl create clusterrolebinding tf-sa-cluster-admin \
    --clusterrole=cluster-admin \
    --user=GKE-service-account-email@project-domain.com
  

  2. 生产环境（最小权限原则）
     先创建仅包含所需psp操作权限的ClusterRole，再绑定到你的GKE服务账号：
     新建yaml文件psp-grant-perm.yaml，内容如下：

  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRole
  metadata:
    name: psp-grant-permissions
  rules:
  - apiGroups: ["policy"]
    resources: ["podsecuritypolicies"]
    resourceNames: ["test-psp"]
    verbs: ["use", "get", "list", "create", "delete", "update", "patch", "deletecollection"]
  ---
  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRoleBinding
  metadata:
    name: tf-sa-psp-grant-binding
  subjects:
  - kind: User
    name: GKE-service-account-email@project-domain.com
    apiGroup: rbac.authorization.k8s.io
  roleRef:
    kind: ClusterRole
    name: psp-grant-permissions
    apiGroup: rbac.authorization.k8s.io
  

  执行apply命令生效：

  kubectl apply -f psp-grant-perm.yaml
  

• 第三步：额外GKE特性排查
  如果你的GKE集群开启了Workload Identity，还需要确认GCP层面的服务账号已经绑定了roles/container.admin或对应Kubernetes操作所需的GKE IAM权限，避免GCP层面的权限拦截。
• 第四步：重新执行操作
  权限配置完成后重新运行terraform apply即可。

额外优化建议 #

你当前的ClusterRoleBinding配置给system:authenticated、system:serviceaccounts整个用户组都绑定了psp权限，权限范围过大，生产环境建议缩小subject范围，仅给实际需要使用该psp的特定服务账号/用户授权，降低安全风险。

内容的提问来源于stack exchange，提问作者floormind