启用RBAC后使用kubectl访问Kubernetes API失败求助

你遇到的这个问题其实是启用RBAC后最常见的坑之一——Kubernetes的RBAC是"默认拒绝"的权限模型。虽然你已经在kube-apiserver里开了RBAC开关，甚至指定了超级用户admin，但你当前kubectl用的是kubectl这个用户，这个用户根本没被授予任何权限，API服务器自然会拒绝它的请求。

简单说：你只打开了RBAC的锁，但没给kubectl用户配钥匙。

具体解决步骤 #

1. 确认当前kubectl的用户身份 #

报错里已经明确显示用户是kubectl，你也可以再验证下（如果这个命令能执行的话）：

kubectl config view --minify -o jsonpath='{.users[0].name}'

如果这个命令也报错，直接跳过，用报错里的kubectl用户即可。

2. 用管理员权限给kubectl用户分配权限 #

现在你的kubectl没有权限执行任何命令，得用集群自带的管理员配置来操作。一般控制节点上会有个默认的管理员kubeconfig文件，比如/etc/kubernetes/admin.conf（kubeadm部署的集群基本都是这个路径）。

执行下面的命令，把kubectl用户绑定到Kubernetes内置的cluster-admin角色（这个角色拥有整个集群的所有权限，适合测试或管理员使用）：

kubectl --kubeconfig=/etc/kubernetes/admin.conf create clusterrolebinding kubectl-cluster-admin \
  --clusterrole=cluster-admin \
  --user=kubectl

3. 验证权限是否生效 #

现在再试试你的命令，应该就能正常返回结果了：

kubectl get po

额外补充说明 #

• 如果你是在生产环境，不建议直接绑定cluster-admin，最好根据实际需求创建更精细的角色（比如只允许查看pod的Role），遵循最小权限原则。
• 你配置的--authorization-rbac-super-user=admin是指定了RBAC的超级用户，这个用户可以绕过所有RBAC检查，但你的kubectl用的是kubectl，不是admin，所以这个配置对你当前的用户没用。如果想让admin拥有超级权限，得修改kubeconfig让kubectl切换到admin用户。

内容的提问来源于stack exchange，提问作者MelDev