GKE集群中Go应用更新Deployment时出现授权错误求助（Master版本1.9.4-gke.1）

问题分析 #

你在GKE集群（Master版本1.9.4-gke.1）中用Go应用通过集群内配置连接K8s API，尝试更新Deployment副本数时遇到了授权错误。从你给出的代码片段来看，已经正确使用了rest.InClusterConfig()获取集群内客户端配置，但核心问题大概率是Pod使用的服务账号缺少操作Deployment的权限——GKE默认的服务账号权限非常有限，没法执行Deployment的更新操作。

解决方案步骤 #

1. 配置RBAC角色与绑定 #

首先要给Pod的服务账号配置足够的RBAC权限，允许它读取和更新Deployment：

第一步：定义命名空间级Role

创建deployment-updater.yaml文件，内容如下：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: <你的命名空间>  # 替换成Deployment所在的命名空间
  name: deployment-updater
rules:
- apiGroups: ["apps"]  # Deployment属于apps API组
  resources: ["deployments"]
  verbs: ["get", "update", "patch"]  # 所需操作：获取、更新、补丁更新Deployment

第二步：绑定Role到服务账号

接着创建RoleBinding，把上面的Role绑定到Pod使用的服务账号（没自定义的话默认是default）：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: <你的命名空间>
  name: bind-deployment-updater
subjects:
- kind: ServiceAccount
  name: default  # 替换成Pod使用的服务账号名称
  namespace: <你的命名空间>
roleRef:
  kind: Role
  name: deployment-updater
  apiGroup: rbac.authorization.k8s.io

第三步：应用配置

执行命令创建RBAC资源：

kubectl apply -f deployment-updater.yaml

2. 验证服务账号权限 #

可以在Pod内部测试权限是否生效：

# 进入Pod内部
kubectl exec -it <你的Pod名称> -- /bin/sh

# 用curl调用K8s API测试权限
curl -H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" \
  --cacert /var/run/secrets/kubernetes.io/serviceaccount/ca.crt \
  https://kubernetes.default.svc/apps/v1/namespaces/<你的命名空间>/deployments/<你的Deployment名称>

如果返回Deployment的JSON数据，说明权限配置成功；如果返回403，就要检查RBAC配置是否有误。

3. 完整代码示例 #

补全你提供的代码，确保完整的更新逻辑：

package main

import (
	"fmt"
	"github.com/pkg/errors"
	metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
	"k8s.io/client-go/kubernetes"
	"k8s.io/client-go/rest"
	appsv1 "k8s.io/api/apps/v1"
)

func updateReplicas(namespace string, name string, replicas int32) error {
	// 获取集群内配置
	config, err := rest.InClusterConfig()
	if err != nil {
		return errors.Wrap(err, "failed to get in-cluster config")
	}

	// 创建K8s客户端
	clientset, err := kubernetes.NewForConfig(config)
	if err != nil {
		return errors.Wrap(err, "failed to create k8s clientset")
	}

	// 获取目标Deployment
	deployment, err := clientset.AppsV1().Deployments(namespace).Get(name, metav1.GetOptions{})
	if err != nil {
		return errors.Wrap(err, "failed to fetch deployment")
	}

	// 更新副本数
	deployment.Spec.Replicas = &replicas
	_, err = clientset.AppsV1().Deployments(namespace).Update(deployment)
	if err != nil {
		return errors.Wrap(err, "failed to update deployment")
	}

	fmt.Printf("Successfully updated deployment %s to %d replicas\n", name, replicas)
	return nil
}

func main() {
	// 替换成你的命名空间、Deployment名称和目标副本数
	if err := updateReplicas("default", "my-app-deployment", 3); err != nil {
		fmt.Printf("Error occurred: %v\n", err)
	}
}

额外注意事项 #

• 如果用了自定义服务账号，记得在Pod的spec.serviceAccountName字段里指定该服务账号名称。
• GKE 1.9.4-gke.1版本支持RBAC v1，上述RBAC配置完全兼容。

内容的提问来源于stack exchange，提问作者sinmetal