User “system:serviceaccount:xxxx:default“ cannot get resource “namespaces“ in API group ““

最新推荐文章于 2025-03-17 23:30:46 发布

原创最新推荐文章于 2025-03-17 23:30:46 发布 · 3.4k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#kubernetes #容器 #云原生

博客详细介绍了在Kubernetes中遇到的权限问题，即默认用户无法在'kube-system'命名空间下获取'monitoring'命名空间资源。解决方案包括创建新的ServiceAccount 'tiller'，并配置ClusterRoleBinding赋予cluster-admin权限，然后通过kubectl命令更新tiller-deploy的ServiceAccount以避免错误。此方法有助于管理Kubernetes集群中的权限控制。

namespaces “monitoring” is forbidden: User “system:serviceaccount:kube-system:default” cannot get resource “namespaces” in API group “” in the namespace “monitoring”
这里大概是说，使用 kube-system 命名空间下的default用户进行资源操作但是default 用户没有权限
解决方案如下：
创建一个 tillerServiceAccount.yaml，并使用 kubectl apply -f tillerServiceAccount.yaml 创建账号解角色，其中kube-system就是xxxx就是你的命名空间

apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: tiller
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: tiller
    namespace: kube-system

重点：kubectl patch deploy --namespace kube-system tiller-deploy -p '{"spec":{"template":{"spec":{"serviceAccount":"tiller"}}}}' 使用这个命令修改你的默认调用账号为刚创建的 tiller 账号，否则依然会报错。