代码之家 › 专栏 › 技术社区 › Muhammad Rehan Saeed

为每个命名空间设置helm rbac

helm kubernetes-helm rbac kubernetes

Muhammad Rehan Saeed · 技术社区 · 6 年前

我跟着正式的头盔 documentation 对于“在命名空间中部署tiller,仅限于在该命名空间中部署资源”。这是我的bash脚本:

Namespace="$1"

kubectl create namespace $Namespace
kubectl create serviceaccount "tiller-$Namespace" --namespace $Namespace
kubectl create role "tiller-role-$Namespace" /
    --namespace $Namespace /
    --verb=* /
    --resource=*.,*.apps,*.batch,*.extensions
kubectl create rolebinding "tiller-rolebinding-$Namespace" /
    --namespace $Namespace /
    --role="tiller-role-$Namespace" /
    --serviceaccount="$Namespace:tiller-$Namespace"
helm init /
    --service-account "tiller-$Namespace" /
    --tiller-namespace $Namespace
    --override "spec.template.spec.containers[0].command'='{/tiller,--storage=secret}"
    --upgrade
    --wait

运行 helm upgrade 给出以下错误:

错误:升级失败:禁止configmaps:用户“system:serviceaccount:kube system:default”无法在命名空间“kube system”中列出configmaps

官方文件中有漏洞吗?我读错了吗?

1 回复 | 直到 6 年前

Nick_Kh 6 年前

我不确定 --resource 在脚本中标记正确的语法,这里是否允许使用星号“*”,请看这个 issue 在Github上报告。

$ kubectl create role "tiller-role-$Namespace" \
--namespace $Namespace \
--verb=* \
--resource=*.,*.apps,*.batch,*.extensions
the server doesn't have a resource type "*"

但是您可以在集群中检查这个角色对象:

kubectl get role tiller-role-$Namespace -n $Namespace -o yaml

否则,请尝试为创建角色 tiller 在文件指导下的yaml文件中:

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: tiller-manager
  namespace: tiller-world
rules:
- apiGroups: ["", "batch", "extensions", "apps"]
  resources: ["*"]
  verbs: ["*"]

此外,请记住,如果安装了 分蘖 在非默认命名空间中( default )需要指定命名空间 分蘖 当您调用 Helm 命令:

$ helm --tiller-namespace $Namespace version
Client: &version.Version{SemVer:"v2.11.0", GitCommit:"2e55dbe1fdb5fdb96b75ff144a339489417b146b", GitTreeState:"clean"}
Server: &version.Version{SemVer:"v2.11.0", GitCommit:"2e55dbe1fdb5fdb96b75ff144a339489417b146b", GitTreeState:"clean"}

推荐文章

ralonr · 当上下文已经设置好时,如何在K9中的上下文之间切换?

2 年前

Dr. Andrew · kubectl运行时未创建部署

2 年前

Meghana B Srinath · ServiceNow作为基于容器的应用程序

2 年前

CodeMonkey · 键“meta.helm.sh/release name”必须等于“x”:当前值为“y”

2 年前

user17377017 · Kubernetes nginx控制器错误日志:连接到上游时connect()失败(111:连接被拒绝),客户端:X.X.X.X,服务器:X.X.X.X

2 年前

Suhasini Subramaniam · 如何列出库伯内特斯吊舱中有CharDevice?

2 年前

briadeus · Kubernetes活性/就绪性探测在同一集群上的不同命名空间中失败(权限被拒绝)

2 年前

Abhishek Rai · 库伯内特斯吊舱卡在集装箱内

2 年前

Rajan Subramanian · 无法让kubectl在minikube中运行flask应用程序

2 年前

TiDu · 使用EKS设置出口网关的最简单方法,无需Istio

2 年前