Kubernetes如何在CronJob Pod内执行kubectl命令并解决权限报错

错误原因：该报错是 CronJob 所使用的 ServiceAccount（默认是运行命名空间下的 default SA）没有集群级别的 Namespace 列表权限，自行配置 ClusterRole 后未生效，基本是因为未完成 ClusterRole 和 ServiceAccount 的正确绑定，或者 CronJob 未指定正确的 ServiceAccount。

修复步骤 #

• 第一步：创建具备Namespace查询权限的ClusterRole

  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRole
  metadata:
    name: namespace-lister-role
  rules:
  - apiGroups: [""]
    resources: ["namespaces"]
    verbs: ["get", "list", "watch"]
  

  执行创建命令：kubectl apply -f clusterrole.yaml

• 第二步：创建ClusterRoleBinding绑定ServiceAccount和ClusterRole
  如果你使用CronJob所在命名空间的默认default SA，配置如下：

  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRoleBinding
  metadata:
    name: namespace-lister-binding
  subjects:
  - kind: ServiceAccount
    name: default
    namespace: default # 替换为你的CronJob实际运行的命名空间
  roleRef:
    kind: ClusterRole
    name: namespace-lister-role
    apiGroup: rbac.authorization.k8s.io
  

  执行创建命令：kubectl apply -f clusterrolebinding.yaml

• 第三步：确认CronJob已指定正确的ServiceAccount
  检查你的CronJob配置，确保spec.jobTemplate.spec.template.spec下配置了正确的serviceAccountName，如未配置默认会使用当前命名空间的default SA，示例配置如下：

  apiVersion: batch/v1
  kind: CronJob
  metadata:
    name: ns-query-cron
  spec:
    schedule: "0 0 * * *" # 替换为你自己的定时规则
    jobTemplate:
      spec:
        template:
          spec:
            serviceAccountName: default # 和你绑定的ServiceAccount名称一致
            containers:
            - name: ns-query
              image: bitnami/kubectl:1.27 # 替换为你自己的镜像
              command: ["/bin/sh", "/opt/query-ns.sh"]
            restartPolicy: OnFailure
  

  更新CronJob配置：kubectl apply -f cronjob.yaml

• 第四步：验证权限配置是否生效
  执行以下命令测试ServiceAccount权限，正常输出Namespace列表即为配置成功：
  kubectl run --rm -it --image=bitnami/kubectl:1.27 --as=system:serviceaccount:default:default test-ns-perm -- get ns

常见配置错误排查 #

• ClusterRole的rules中apiGroups配置错误，Namespace属于核心API组，对应值为""，不要填写其他值
• ClusterRoleBinding中subjects的namespace和name与实际使用的ServiceAccount不匹配，例如CronJob运行在kube-system命名空间，但绑定的是default命名空间的SA
• CronJob配置中写错字段，将serviceAccountName误写为serviceAccount，导致未加载正确的SA

内容的提问来源于stack exchange，提问作者Danil Savchenko