centos - kubectl 从服务器获取 cs 提示错误(禁止)

Question

运行时kubectl get cs在 centos 7 上，我收到以下错误消息。

No resources found.
Error from server (Forbidden): componentstatuses is forbidden: 
User "system:node:<server-name>" cannot list componentstatuses at the cluster scope

我可以确认 api 服务器正在运行 kubectl cluster-info

Kubernetes master is running at https://<server-IP>:6443
KubeDNS is running at https://<server-IP>:6443/api/v1/namespaces/kube-system/services/kube-dns:dns/proxy

我也有以下 ~/.bash_profile

export http_proxy=http://<proxy-server-IP>:3128
export https_proxy=http://<proxy-server-IP>:3128
export no_proxy=$no_proxy,127.0.0.1,localhost,<server-IP>,<server-name>
export KUBECONFIG=/etc/kubernetes/kubelet.conf

不仅 kubectl get cs产生错误消息， kubectl apply -f kubernetes-dashboard.yaml产生类似的错误信息

Error from server (Forbidden): error when retrieving current configuration of:
Resource: "/v1, Resource=secrets", GroupVersionKind: "/v1, Kind=Secret"
Name: "kubernetes-dashboard-certs", Namespace: "kube-system"
Object: &{map["kind":"Secret" "metadata":map["labels":map["k8s-app":"kubernetes-dashboard"] "name":"kubernetes-dashboard-certs" "namespace":"kube-system" "annotations":map["kubectl.kubernetes.io/last-applied-configuration":""]] "type":"Opaque" "apiVersion":"v1"]}
from server for: "https://raw.githubusercontent.com/kubernetes/dashboard/master/src/deploy/recommended/kubernetes-dashboard.yaml": 
secrets "kubernetes-dashboard-certs" is forbidden: 
User "system:node:<server-name>" cannot get secrets in the namespace "kube-system": 
no path found to object

Answer 1

export KUBECONFIG=/etc/kubernetes/kubelet.conf

完全不正确；你是，因为错误消息很高兴地试图通知你，试图以 Node 执行集群操作，而不是作为用户之一或 ServiceAccount s。 RBAC 几乎被明确地设计为阻止你做你目前正在做的事情。你永远不会想要一个 Node能够读取敏感凭据也不会创建任意 Pod s 在集群范围内。

如果你想对它不屑一顾，那么 ssh 进入一个主节点并使用 cluster-admin凭证通常位于 /etc/kubernetes/admin.conf (或类似的文件——取决于您的集群的配置方式)。如果您还没有 cluster-admin凭证，然后创建一个 X.509 证书，该证书由 apiserver 信任的 CA 与 O= 的组织(X.509 用语中的 cluster-admin)签署然后为自己创建一个 ServiceAccount (或其他)带有 ClusterRoleBinding的 cluster-admin然后从那里去。