默认用户的 Kubernetes RBAC 身份验证

Question

我在 AWS 中使用 kops 创建我的 Kubernetes 集群。

我已经创建了一个集群，通过 --authorization=RBAC 启用了 RBAC，如 here. 所述

我正在尝试使用默认服务帐户 token 与集群交互并收到此错误:

服务器错误(禁止):用户“system:serviceaccount:default:default”无法列出命名空间“default”中的 pod。 (获取 pod )

我是否遗漏了某个角色或某个地方的绑定(bind)？

Answer 1

我认为将集群管理员角色授予默认命名空间中的默认服务帐户不是一个好主意。

如果您将集群管理员访问默认命名空间中的默认用户 - 将部署在集群中的每个应用程序(pod)，在默认命名空间中 - 将能够 操纵集群(删除系统 pod/部署或做其他不好的事情)。

默认情况下，clusterrole cluster-admin 被分配给 kube-system 命名空间中的默认服务帐户。您可以使用它与集群进行交互。