GKE RBAC角色/角色绑定到集群中的访问节点状态

Question

我无法获得正确的角色绑定，才能从在GKE上的Pod中运行的应用程序获取节点状态。

我能够从那里创建一个Pod，但无法获取节点状态。 他是我正在创建的角色：

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: node-reader
rules:
- apiGroups: [""] # "" indicates the core API group
  resources: ["nodes"]
  verbs: ["get", "watch", "list"]

这是我执行getNodeStatus时遇到的错误：

{
    "kind": "Status",
    "apiVersion": "v1",
    "metadata": {},
    "status": "Failure",
    "message": "nodes \"gke-cluster-1-default-pool-36c26e1e-2lkn\" is forbidden: User \"system:serviceaccount:default:sa-poc\" cannot get nodes/status at the cluster scope: Unknown user \"system:serviceaccount:default:sa-poc\"",
    "reason": "Forbidden",
    "details": {
        "name": "gke-cluster-1-default-pool-36c26e1e-2lkn",
        "kind": "nodes"
    },
    "code": 403
}

我尝试了一些细微的变化，但没有成功。

GKE上的Kubernetes版本是1.8.4-gke.1

任何帮助表示赞赏，谢谢！

Answer 1

子<resource>/<subresource>权限表示为<resource>/<subresource> ，因此在该角色中，您将指定resources: ["nodes","nodes/status"]