services запрещено: User \ system: serviceaccount: tick: external-dns \ не может перечислить ресурс \ services \ в группе API \\ в области кластера

Я следил за пошаговым руководством чтобы создать AWS ALB Ingress Controller для моего приложения, которое также развернуто в кластере EKS.
Все в порядке, ответы схожи с пошаговым руководством, но когда дело доходит до настройки внешнего DNS, я получаю сообщение об ошибке:

kubectl logs -f $(kubectl get po | egrep -o 'external-dns[A-Za-z0-9-]+')

time = "2020-02-20T16: 21: 57Z" level = error msg = "услуги запрещены: пользователь \" system: serviceaccount: tick: external-dns \ "не может перечислить ресурс \" услуги \ "в группе API \" \ "в области кластера" time = "2020-02-20T16: 22: 58Z" level = error msg = "сервисы запрещены: пользователь \" system: serviceaccount: tick: external-dns \ "не может перечислить ресурсы \" сервисы \ "в группе API \" \ "в области кластера"

каждую минуту. Я убедился, что все разрешения нужны, поэтому этого не должно быть.

Я пробовал решения из здесь, но ничего не помогло, и я не смог ' не нахожу никаких других решений.

Что на практике означает эта ошибка? Что мне делать, чтобы это исправить?

ОБНОВЛЕНИЕ ИЗМЕНИТЬ моя конфигурация external-dns выглядит так:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: external-dns
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::*my*account*id*:role/EKSRole
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: external-dns
rules:
- apiGroups: [""]
  resources: ["services"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","watch","list"]
- apiGroups: ["extensions"]
  resources: ["ingresses"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["list","watch"]
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: external-dns-viewer
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: external-dns
subjects:
- kind: ServiceAccount
  name: external-dns
  namespace: tick
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: external-dns
spec:
  selector:
    matchLabels:
      app: external-dns
  strategy:
    type: Recreate
  template:
    metadata:
      labels:
        app: external-dns
      annotations:
        iam.amazonaws.com/role: arn:aws:iam::*my*account*id*:role/EKSRole
    spec:
      serviceAccountName: external-dns
      containers:
      - name: external-dns
        image: registry.opensource.zalan.do/teapot/external-dns:v0.5.9
        args:
        - --source=service
        - --source=ingress
        - --domain-filter=external-dns-test.my-org.com   #external-dns-test.my-org.com # will make ExternalDNS see only the hosted zones matching provided domain, omit to process all available hosted zones
        - --provider=aws
        - --policy=upsert-only # would prevent ExternalDNS from deleting any records, omit to enable full synchronization
        - --aws-zone-type=public # only look at public hosted zones (valid values are public, private or no value for both)
        - --registry=txt
        - --txt-owner-id=my-identifier
      securityContext:
        fsGroup: 65534

kubernetes kubernetes-ingress aws-alb external-dns
person Flora Biletsiou    schedule 20.02.2020    source источник

Ответы (2)


arrow_upward
5
arrow_downward

Ваша ошибка предполагает, что учетная запись службы с именем external-dns в пространстве имен tick не может выполнять определенные действия. В данном случае это список услуг. Чтобы решить эту проблему, вы можете применить следующее:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: external-dns
  namespace: tick
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: external-dns-role
rules:
- apiGroups: [""]
  resources: ["services"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","watch","list"]
- apiGroups: ["extensions"]
  resources: ["ingresses"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["list","watch"]
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: external-dns-role-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: external-dns-role
subjects:
- kind: ServiceAccount
  name: external-dns
  namespace: tick

Обратите внимание, что первое правило внутри ClusterRole предоставляет правильные разрешения для перечисления служб в "" apiGroup, что устраняет ошибку, о которой вы сообщили в своем вопросе.

person marcincuber    schedule 21.02.2020
comment
Спасибо, единственное, что отличалось, - это поле namespace, которое было default, и изменили его на tick. Теперь мне нужно выяснить, как получить доступ к моему приложению через службу. - person Flora Biletsiou; 21.02.2020
comment
@FloraBiletsiou Я только что обновил свой ответ. В вашем определении ServiceAccount вам также не хватает пространства имен. Если вы не укажете его, учетная запись службы обычно создается в системе kube или пространстве имен по умолчанию. - person marcincuber; 21.02.2020
comment
ServiceAccount уже был в моем пространстве имен tick, потому что я установил его по умолчанию, но я все равно изменил - person Flora Biletsiou; 21.02.2020
comment
В настоящее время я борюсь с той же проблемой или, по крайней мере, с той же ошибкой, несмотря на команду: kubectl auth can-i list service/poc-service --as system:serviceaccount:poc:poc-sa возвращает yes. Я попытался присвоить cluster-admin poc-sa (с kubectl create clusterrolebinding poc-admin --clusterrole cluster-admin --serviceaccount=poc:poc-sa), и это, похоже, избавляет от ошибки. Но это действительно плохое решение, учитывая связанный с этим риск для безопасности. - person lubumbax; 18.07.2020

arrow_upward
0
arrow_downward

Я думаю, вы используете Amazon EKS с ролями IAM для учетных записей служб, поэтому следуйте это должно работать. Пошаговое руководство, которому вы следовали, в разделе внешнего DNS Step 2 yaml-файла нет вашего

annotations:
    # Substitute your account ID and IAM service role name below.
    eks.amazonaws.com/role-arn: arn:aws:iam::ACCOUNT-ID:role/IAM-SERVICE-ROLE-NAME

Эта ошибка практически означает, что ваш serviceaccount (external-dns) не имеет разрешений на доступ к серверу api kubernetes.

person garlicFrancium    schedule 20.02.2020
comment
Спасибо за ваш ответ, я действительно добавил эту часть в свою конфигурацию внешнего DNS-аккаунта ServiceAccount, но поскольку я новичок в AWS, я не уверен, что у меня правильный IAM-SERVICE-ROLE-NAME . моя конфигурация выглядит так: annotations: eks.amazonaws.com/role-arn:arn:aws:iam::**myaccountid**:role/EKSRole Я не знаю, как найти IAM-SERVICE-ROLE-NAME - person Flora Biletsiou; 21.02.2020