为 kubernetes 集群创建的新服务帐户无法执行到 Pod 中

Question

我有一个脚本可以创建具有特定访问权限的用户。

该脚本运行以下命令：

kubectl create serviceaccount username
kubectl create clusterrole readonlyuser --non-resource-url=* --verb=get,list,watch --resource=pods,pods/attach,pods/exec,pods/port-forward,pods/proxy,services/proxy
kubectl create clusterrolebinding username --serviceaccount=default:username --clusterrole=readonlyuser
kubectl create rolebinding username --serviceaccount=default:username --clusterrole=readonlyuser --namespace=namespace

当我尝试执行该特定命名空间中的 pod 时，我得到以下信息：

Error from server (Forbidden): pods "<podname>" is forbidden: User "system:serviceaccount:default:username" cannot create resource "pods/exec" in API group "" in the namespace "namespace"

知道如何解决这个问题吗？

Answer 1

错误消息指出以下内容：

 cannot create resource "pods/exec" in API group "" in the namespace "namespace"

因此创建了另一个集群角色和角色绑定，如下所示：

kubectl create clusterrole exec-readonlyuser --verb create --resource pods/exec
kubectl create rolebinding exec-readonlyuser --clusterrole=exec-readonlyuser --serviceaccount default:namespace -n namespace

现在尝试执行并且它正在工作。

 kubectl exec -it nginx --as system:serviceaccount:namespace:username -- sh
 #
 #exit

如果您正在使用yaml，则可以将其添加为同一集群角色中的另一个规则。