GKE中配置RBAC角色绑定获取节点状态失败求助

你的问题核心在于ClusterRole未包含节点状态子资源的权限，同时我们也需要确认RoleBinding的配置是否准确匹配目标服务账号。下面一步步帮你排查解决：

1. 错误根源拆解 #

从你给出的403错误日志能明确看到关键信息：

User "system:serviceaccount:default:sa-poc" cannot get nodes/status at the cluster scope

你的现有ClusterRole仅对nodes资源授予了权限，但在Kubernetes的RBAC规则里，nodes/status是独立的子资源，必须单独声明权限才能访问。

2. 更新ClusterRole添加子资源权限 #

修改你的ClusterRole配置，把nodes/status加入资源列表：

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: node-reader
rules:
- apiGroups: [""] # "" 代表核心API组
  resources: ["nodes", "nodes/status"]  # 新增nodes/status子资源权限
  verbs: ["get", "watch", "list"]

应用更新后的配置：

kubectl apply -f your-clusterrole-config.yaml

3. 验证ClusterRoleBinding的正确性 #

因为是集群级别的节点权限，你需要确保ClusterRoleBinding正确绑定了default:sa-poc这个服务账号。示例配置如下：

kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: node-reader-binding
subjects:
- kind: ServiceAccount
  name: sa-poc
  namespace: default
roleRef:
  kind: ClusterRole
  name: node-reader
  apiGroup: rbac.authorization.k8s.io

如果还未创建这个绑定，执行命令应用：

kubectl apply -f your-clusterrolebinding-config.yaml

4. 额外检查项 #

• 确认你的Pod配置中spec.serviceAccountName字段已设置为sa-poc，确保Pod使用的是这个有权限的服务账号
• 对于GKE 1.8.4版本，RBAC默认是启用状态，你可以通过kubectl api-versions | grep rbac确认RBAC API是否正常可用

完成以上操作后，你的应用应该就能正常获取节点状态了。

内容的提问来源于stack exchange，提问作者unludo