kubernetes - 为什么我在 kubernetes 上没有默认的 serviceAccount？

Question

我试图让 Kubernetes 在一些运行 CoreOS 的本地机器上运行。我正在松散地关注 this guide .一切似乎都已启动并正在运行，我可以通过 kubectl 连接到 api。但是，当我尝试创建一个 pod 时，我收到了这个错误:

Pod "redis-master" is forbidden: Missing service account default/default: <nil> 

做 kubectl get serviceAccounts确认我没有任何 ServiceAccounts:

NAME      SECRETS

根据 documentation ，每个命名空间都应该有一个默认的 ServiceAccount。运行 kubectl get namespace确认我有默认命名空间:

NAME      LABELS    STATUS
default   <none>    Active

我是 Kubernetes 和 CoreOS 的新手，所以我确信我忽略了一些东西，但我终生无法弄清楚发生了什么。我会很感激任何指示。

更新

kube-controller-manager 似乎没有运行。当我尝试运行它时，我收到以下消息:

I1104 21:09:49.262780   26292 plugins.go:69] No cloud provider specified.
I1104 21:09:49.262935   26292 nodecontroller.go:114] Sending events to api server.
E1104 21:09:49.263089   26292 controllermanager.go:217] Failed to start service controller: ServiceController should not be run without a cloudprovider.
W1104 21:09:49.629084   26292 request.go:302] field selector: v1 - secrets - type - kubernetes.io/service-account-token: need to check if this is versioned correctly.
W1104 21:09:49.629322   26292 request.go:302] field selector: v1 - serviceAccounts - metadata.name - default: need to check if this is versioned correctly.
W1104 21:09:49.636082   26292 request.go:302] field selector: v1 - serviceAccounts - metadata.name - default: need to check if this is versioned correctly.
W1104 21:09:49.638712   26292 request.go:302] field selector: v1 - secrets - type - kubernetes.io/service-account-token: need to check if this is versioned correctly.

由于我在本地运行它，因此我没有云提供商。我试图定义 --cloud-provider=""但它仍然提示同样的错误。

Answer 1

每个命名空间的默认服务帐户由服务帐户 Controller 创建，这是一个循环，是 kube-controller-manager 二进制文件的一部分。因此，验证二进制文件是否正在运行，并检查其日志中是否存在任何表明它无法创建服务帐户的内容，确保将“--service-account-private-key-file=somefile”设置为具有有效的 PEM key 。

或者，如果您想在没有服务帐户的情况下取得一些进展，稍后再返回，您可以通过从 api-server 的 --admission-controllers 中删除“ServiceAccount”选项来禁用阻塞您的 Pod 的准入 Controller 。旗帜。但是您可能希望稍后再回来修复它。