在GCP上设置Traefik为Kubernetes入侵

Question

我试图跟随这个Traefik用户指南：https://docs.traefik.io/user-guide/kubernetes/

用户指南和我的设置之间的主要区别是，指南假定我在Minikube上，而我试图在Google平台(GCP)上获得这个设置。我是库伯内特斯的新手，但我认为我对基本面有很好的把握。

无论如何，关于上面的用户指南中介绍的基于角色的访问控制配置，我一直收到以下错误：

创建"rbac.yml"：cl usterroles.rbac.authorization.k8s.io“traefik-ingress控制器”时出错:尝试授予额外权限：[PolicyRule{Resources:"services"，APIGroups:""，谓词：“get”} PolicyRule{Resour：“services”，APIGroups：“，谓词:list”} PolicyRule{Resources:"services"，APIGroups：“，谓词：”PolicyRule“}PolicyRule}PolicyRule{Resources：”终结点“，APIGroups：”，动词：“get”} PolicyRule{ Resources：“endpoint”，APIGroups:""，动词：“list”}}PolicyRule{Resources：“endpoint”，APIGroups:""，动词：“PolicyRule”}PolicyRule{Resources：“PolicyRule：”APIGroups：“，动词:get”}PolicyRule{Resources：“PolicyRule”{Resources：“APIGroups：”，谓词：“list”}PolicyRule{Resources：“PolicyRule”，APIGroups：“，谓词：”注视“} PolicyRule{Resources:"ingresses"，APIGroups:"extensions"，动词：“get”} ownerrules=[PolicyRule{Resources:"selfsubjectaccessreviews"，{ PolicyRule{Resources:"ingresses"，APIGroups:"extensions"，动词：“list”} PolicyRule{Resources:"ingresses"，APIGroups：“PolicyRule”，动词：“注视”} user=&{evan@sherwood.io system:authenti cated map[authenticator:GKE]} } APIGroups:"authorization.k8s.io"，动词：“create”} PolicyRule{Resources:"selfsubjectrulesreviews"，APIGroups:"authorization.k8s.io"，动词：“create”} PolicyRule{NonResourceURLs:"/api“/api/”/apis“/apis/”/healthz“/ swagger-2.0.pb-v1 "/swagger.json”"/swaggerapi“/swaggerapi/*”/ version"，动词：“get”} ruleResolutionErrors=[]

我觉得自己遇到了权限提升预防和引导，但我不知道要改变/做些什么才能克服这个问题。

Answer 1

正如您引用的文档所述，您需要提升您的用户权限，至少在允许RBAC规则更改所必需的程度上如此。

实现这一目标的最简单方法是添加一个分配ClusterRoleBinding特权的cluster-admin。YAML看起来会是这样的：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: megacorp-cluster-admin
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: john.doe@megacorp.com

YAML假设您在GKE注册的用户电子邮件地址是john.doe@megacorp.com。在kubectl apply声明之后，您应该相应地应用于扩展Traefik的RBAC规则。

注意，cluster-admin基本上是集群的根用户。如果您打算进一步限制权限，也可以使用更多的选择性权限。