kops部署的AWS K8s集群挂载EBS卷遇403权限问题，添加权限仍未解决

你遇到的这个问题很典型——虽然添加了AttachVolume和DetachVolume权限，但kubelet在操作EBS卷时还需要额外的权限才能完成完整的挂载流程。以下是你可能遗漏的几个关键点：

1. 缺少ec2:DescribeVolumes权限 #

kubelet在尝试挂载EBS卷之前，需要先查询卷的状态（比如是否可用、所属可用区等），这就需要ec2:DescribeVolumes权限。你当前的策略里只包含了描述实例的权限，没有描述卷的权限，这会导致kubelet无法完成前置检查，最终抛出权限错误。

修正后的IAM策略应该补充这个操作：

{
  "Sid": "kopsK8sEC2NodePerms",
  "Effect": "Allow",
  "Action": [
    "ec2:DescribeInstances",
    "ec2:DescribeVolumes",
    "ec2:AttachVolume",
    "ec2:DetachVolume"
  ],
  "Resource": [
    "*"
  ]
}

2. IAM策略生效延迟 #

IAM策略的变更不会立即生效，节点上的kubelet会缓存IAM角色的凭证一段时间（通常是1小时左右）。你可以通过以下方式加速权限生效：

• 重启节点上的kubelet服务：sudo systemctl restart kubelet
• 或者直接重启EC2节点，让新的IAM权限被重新加载

3. 验证EBS卷与节点的可用区匹配 #

虽然报错是权限问题，但如果EBS卷的可用区和Pod调度到的节点可用区不一致，也可能触发类似的错误提示。请确认你的EBS卷<volume_id>所在的AZ和集群节点的AZ是完全一致的。

4. 确认节点角色关联正确 #

确保你修改的IAM角色确实是kops集群节点使用的角色（nodes.<my_domain>），有时候可能误改了其他角色导致权限不生效。你可以通过EC2控制台查看节点的IAM角色关联情况，确认是正确的目标角色。

验证权限是否生效 #

你可以登录到集群节点，使用AWS CLI直接测试权限：

# 测试描述卷权限
aws ec2 describe-volumes --volume-ids <你的EBS卷ID>
# 测试挂载卷权限（替换实例ID和卷ID）
aws ec2 attach-volume --volume-id <卷ID> --instance-id <节点实例ID> --device /dev/xvdh

如果这些命令能成功执行，说明权限已经生效，此时再重新创建Deployment应该就能正常挂载EBS卷了。

内容的提问来源于stack exchange，提问作者Artsiom Praneuski