permissions - 用于cluster-admin的GKE clusterrolebinding失败，出现权限错误

Question

我刚刚使用运行Kubernetes 1.7.5的Google容器引擎创建了一个新集群，并启用了新的RBAC权限。我在为某些服务分配权限时遇到问题，这导致我遇到以下问题:

用于将容器引擎与RBAC一起使用的docs指出，必须通过运行以下命令来授予用户创建授权角色的能力:

kubectl create clusterrolebinding cluster-admin-binding --clusterrole=cluster-admin [--user=<user-name>]

但是，由于缺少权限(我认为这与我们试图通过运行上述命令授予的权限完全相同)而导致此操作失败。

Error from server (Forbidden): 
User "<user-name>" cannot create clusterrolebindings.rbac.authorization.k8s.io at the cluster scope.: 
  "Required \"container.clusterRoleBindings.create\" permission." 
  (post clusterrolebindings.rbac.authorization.k8s.io)

任何帮助将不胜感激，因为这使我无法创建群集服务所需的权限。

Answer 1

Janos的答案适用于使用密码创建的GKE集群，但我建议尽可能避免使用该密码(或创建不使用密码的GKE集群)。

使用IAM:要创建该ClusterRoleBinding，调用者必须具有container.clusterRoleBindings.create权限。仅OWNER和Kubernetes Engine Admin IAM角色包含该权限(因为它允许修改GKE群集上的访问控制)。

因此，要允许person@company.com运行该命令，必须授予这些角色之一。例如。:

gcloud projects add-iam-policy-binding $PROJECT \
  --member=user:person@company.com \
  --role=roles/container.admin