google-kubernetes-engine - 无法在新的 GKE 集群上创建集群角色绑定(bind)

Question

我配置了一个托管 GKE 集群(Kubernetes 版本 1.9.4-gke.1)，并禁用基本身份验证。当我尝试创建 RBAC 配置(用于运行我的入口 Controller )时，出现以下错误:服务器错误(禁止):clusterrolebindings.rbac.authorization.k8s.io 被禁止:用户“XXX@gmail.com”无法在集群范围内创建 clusterrolebindings.rbac.authorization.k8s.io:必需的“容器。 clusterRoleBindings.create”权限。

我发现了两个相关的问题:

1. GKE clusterrolebinding for cluster-admin fails with permission error
2. User "xxx" cannot create clusterrolebindings.rbac.authorization.k8s.io at the cluster scope

第一个包含为集群启用基本身份验证时的解决方案，这不是我的情况。而第二个问题没有答案。

我的用户不是 GCP 项目的所有者，但在项目中具有 editor 角色。我发现 others 观察到了这种行为。

请告知当集群禁用基本身份验证时，如何在 GKE 集群上添加缺少的权限或以其他方式定义的 RBAC。

Answer 1

要创建该 ClusterRoleBinding，调用者必须通过 GCP IAM 获得 container.clusterRoleBindings.create 权限。只有 OWNER 和 Kubernetes Admin IAM 角色包含该权限(因为它允许修改 GKE 集群上的访问控制)。

因此，要允许 person@company.com 运行该命令，他们必须被授予这些角色之一。我推荐 Kubernetes Admin 角色。:

gcloud projects add-iam-policy-binding $PROJECT --member=user:person@company.com --role=roles/container.admin