全新GKE集群创建ClusterRoleBinding时遇权限禁止错误

嘿，这个问题我之前在GKE上踩过一模一样的坑！禁用基础认证的GKE集群会把身份验证和权限管控完全交给Google IAM，而不是Kubernetes原生的账号体系，所以你遇到的Forbidden错误本质是你的Google账号没有对应的IAM权限来操作ClusterRoleBinding。

下面是具体的解决步骤，亲测有效：

1. 先确认当前账号的IAM权限 #

首先用gcloud命令检查你的账号在项目中的角色：

gcloud projects get-iam-policy YOUR_PROJECT_ID

在输出里找你的XXX@gmail.com对应的角色，如果是roles/viewer或者其他低权限角色，肯定会没有创建ClusterRoleBinding的权限。

2. 给账号添加合适的IAM角色 #

最简单直接的方式是给账号分配容器管理员角色，这个角色包含了所有GKE集群的管理权限，足够解决你的问题：

gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member=user:XXX@gmail.com \
  --role=roles/container.admin

如果你的团队对权限管控很严格，不想给这么宽泛的权限，可以创建一个自定义IAM角色，只包含需要的container.clusterRoleBindings.create权限：

• 先创建一个自定义角色配置文件custom-gke-role.yaml：

  title: "GKE ClusterRoleBinding Creator"
  description: "仅允许创建GKE集群级别的ClusterRoleBinding"
  includedPermissions:
    - container.clusterRoleBindings.create
  

• 用gcloud创建这个自定义角色：

  gcloud iam roles create clusterRoleBindingCreator \
    --project=YOUR_PROJECT_ID \
    --file=custom-gke-role.yaml
  

• 把这个自定义角色绑定到你的账号：

  gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
    --member=user:XXX@gmail.com \
    --role=projects/YOUR_PROJECT_ID/roles/clusterRoleBindingCreator
  

3. 等待权限同步并验证 #

IAM权限的同步大概需要1-2分钟，之后重新配置一下kubectl的集群凭证（确保身份是最新的）：

gcloud container clusters get-credentials YOUR_CLUSTER_NAME --zone YOUR_CLUSTER_ZONE

然后再尝试创建你的RBAC配置：

kubectl apply -f your-ingress-rbac-config.yaml

这时候应该就能成功了！

内容的提问来源于stack exchange，提问作者Leo Y