kubernetes - 使用RBAC访问Web UI仪表板时出错

Question

我创建了一个群集角色“try-usr”

种类:ClusterRole
apiVersion:rbac.authorization.k8s.io/v1
元数据:
名称:try-usr
规则:
-apiGroups:
-'*'
资源:
-'*'
动词:
-得到
- list
-看

在访问Web UI(仪表板)时，它引发如下错误:

{
“kind”:“状态”，
“apiVersion”:“v1”，
“元数据”:{

}，
“status”:“失败”，
“message”:“服务\” https:kubernetes-dashboard:\“被禁止:用户\” xyz \“无法在 namespace ” kube-system \“”中获得服务/代理，
“reason”:“Forbidden”，
“细节”: {
“name”:“https:kubernetes-dashboard:”，
“kind”:“服务”
}，
“代码”:403
}

Answer 1

根据kubernetes版本the dashboard will require different permissions according to the docs

v1.7

在kube-system namespace 中创建和监视 secret 的权限，该权限需要-创建和监视kubernetes-dashboard-key-holder secret 的更改。

获取，更新和删除kube-system命名空间中名为kubernetes-dashboard-key-holder和kubernetes-dashboard-certs的 secret 的权限。

允许从heapster获取指标所需的

对kube-system命名空间中的stackster服务的代理权限。

v1.8

在创建kubernetes-dashboard-key-holder secret 所需的kube系统 namespace 中创建 secret 权限。

获取，更新和删除kube-system命名空间中名为kubernetes-dashboard-key-holder和kubernetes-dashboard-certs的 secret 的权限。

获取和更新kube-system namespace 中名为kubernetes-dashboard-settings的配置映射的权限。

允许从heapster获取指标所需的

对kube-system命名空间中的stackster服务的代理权限。