kubectl get all使用rancher权限返回大量禁止错误

Question

我使用rancher来管理k8s集群，只允许访问一些特定的项目/命名空间，它工作得很好，除了它有烦人的错误消息

$ kubectl get all
NAME                                 READY   STATUS    RESTARTS   AGE
pod/nginx-64cf74bdcb-vmssn           1/1     Running   0          14m

NAME                    TYPE       CLUSTER-IP      EXTERNAL-IP   PORT(S)        AGE
service/nginx           NodePort   10.100.132.26           80:32318/TCP   14m

NAME                            READY   UP-TO-DATE   AVAILABLE   AGE
deployment.apps/nginx           1/1     1            1           14m

NAME                                       DESIRED   CURRENT   READY   AGE
replicaset.apps/nginx-contiki-64cf74bdcb   1         1         1       14m
Error from server (Forbidden): users.jenkins.io is forbidden: User "u-4foykbynfi" cannot list resource "users" in API group "jenkins.io" in the namespace "sandbox"
Error from server (Forbidden): facts.jenkins.io is forbidden: User "u-4foykbynfi" cannot list resource "facts" in API group "jenkins.io" in the namespace "sandbox"
...

这个用户只想检查它自己命名空间中的所有资源，尽管它没有其他API组的权限，但是我们可以跳过这个检查吗？

环境

• K8S服务器-v1.14.1
• Kubectl客户端-v1.13.2
• 牧场主-v2.2.4

Answer 1

实际上，当您调用Kubectl get all命令时，k8s会查看绑定到all类别的资源目录。您可以为每个自定义对象CRD添加此类别，提供特定的CustomResourceDefinition资源定义，如下所述。

但是，不能更改Kubectl get命令方法，只能应用某些筛选器或自定义打印输出。

如果您的目标只是获取Kubectl get All到stdout的输出以避免错误记录，那么您可能可以将stderr重定向到/dev/null:

$ kubectl get all 2>/dev/null

还可以将--as标志添加到Kubectl get命令中，以便模拟资源所有者：

$ kubectl get all --as=<username>