Spring Cloud库伯内特斯：什么是集群读取器权限？

Question

根据Spring Cloud Kubernetes文档，为了在RBAC发现服务/pods，启用了Kubernetes发行版:

您需要确保运行spring-cloud-kubernetes的pod能够访问Kubernetes API。对于您分配给部署/pod的任何服务帐户，您需要确保它具有正确的角色。例如，根据您所在的项目，您可以将< code >群集阅读器权限添加到您的默认服务帐户。

为了发现服务/pod，什么是< code >集群阅读器权限？

我收到的错误是：

io.fabric8.kubernetes.client.KubernetesClientException: Failure executing: GET at: https://x.x.x.x/api/v1/namespaces/jx-staging/services. 
Message: Forbidden!Configured service account doesn't have access. 
Service account may have been revoked. services is forbidden: 
User "system:serviceaccount:jx-staging:default" cannot list services in the namespace "jx-staging"

Answer 1

库伯内特斯通常将角色分为两种类型：

• 角色：这特定于授予它们的名称空间。
• ClusterRole：适用于整个集群，这意味着它适用于所有名称空间

因此，Spring Cloud Kubernetes文档的意思是，为了能够在所有名称空间中正确地读取发现服务/pod，将与应用程序关联的ServiceAccount应该有一个＜code＞ClusterRole，＜code＞服务

Kubernetes文档的这一部分(也包含了很好的例子)是全面了解Kubernetes RBAC的必读书。

Answer 2

读取< code >endpoint和< code >服务似乎是Spring Cloud Kubernetes发现pod和服务的最低要求。

示例将权限添加到default命名空间中的default服务号。

---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cluster-read-role
rules:
- apiGroups:
  - ""
  resources:
  - endpoints
  - pods
  - services
  - configmaps
  verbs:
  - get
  - list
  - watch

---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: cluster-read-rolebinding
subjects:
- kind: ServiceAccount
  name: default
  namespace: default
roleRef:
  kind: ClusterRole
  name: cluster-read-role
  apiGroup: rbac.authorization.k8s.io