从你的日志里一眼就能定位问题：Fluentd正在使用kube-system命名空间的默认服务账号，而这个账号没有集群范围的Pod列表权限。错误信息里明确指出：

pods is forbidden: User "system:serviceaccount:kube-system:default" cannot list pods at the cluster scope

这个问题出在Fluentd的kubernetes_metadata_filter插件上——它需要访问Kubernetes API来获取Pod和Namespace的元数据，从而给日志打上正确的标签，但默认服务账号没有对应的RBAC权限。

解决方案步骤 #

1. 创建专用的Fluentd服务账号

先给Fluentd创建一个独立的ServiceAccount，避免使用权限不足的默认账号：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: fluentd
  namespace: kube-system

2. 创建ClusterRole赋予必要权限

我们需要给这个服务账号授予访问Pod和Namespace的list、watch权限（这是metadata插件正常工作的最低权限）：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: fluentd-cluster-role
rules:
- apiGroups: [""]  # 核心API组
  resources: ["pods", "namespaces"]
  verbs: ["list", "watch"]

3. 绑定ClusterRole到服务账号

通过ClusterRoleBinding把上面的角色关联到Fluentd的ServiceAccount：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: fluentd-cluster-role-binding
subjects:
- kind: ServiceAccount
  name: fluentd
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: fluentd-cluster-role
  apiGroup: rbac.authorization.k8s.io

4. 更新Fluentd DaemonSet使用新账号

修改你的Fluentd DaemonSet清单，指定使用刚创建的ServiceAccount：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: fluentd
  namespace: kube-system
  # 其他元数据...
spec:
  template:
    spec:
      serviceAccountName: fluentd  # 新增/修改这一行
      # 其他Pod配置（镜像、卷、环境变量等）...

验证修复效果 #

1. 应用所有配置文件：

kubectl apply -f fluentd-serviceaccount.yaml -f fluentd-clusterrole.yaml -f fluentd-clusterrolebinding.yaml

2. 重启Fluentd DaemonSet让配置生效：

kubectl rollout restart daemonset/fluentd -n kube-system

3. 查看Fluentd日志确认错误消失：

kubectl logs <your-fluentd-pod-name> -n kube-system

如果一切正常，你会看到Fluentd成功启动，不再出现403权限错误，kubernetes_metadata_filter也能正常加载元数据了。

内容的提问来源于stack exchange，提问作者mon