Velero安装从GCP中的VM主机失败

Question

我正在尝试使用以下步骤将velero从GKE Cluster安装到GCP Compute Engine Host上

https://github.com/vmware-tanzu/velero-plugin-for-gcp

我正在使用下面的命令从velero主机安装VM

 velero install --provider gcp --plugins velero/velero-plugin-for-gcp:v1.1.0 --bucket ${VELEROBUCKET} --secret-file ./credentials-velero

但是它失败了，下面是错误。

Error installing Velero. Use `kubectl logs deploy/velero -n velero` to check the deploy logs:
Error creating resource ClusterRoleBinding/velero: clusterrolebindings.rbac.authorization.k8s.io is forbidden: 
User "116865650821658545991" cannot create resource "clusterrolebindings" in API group "rbac.authorization.k8s.io" at the cluster scope: requires one of ["container.clusterRoleBindings.create"] permission(s)  

要解决此错误，我正在尝试以下操作

  kubectl create clusterrolebinding cluster-admin-binding --clusterrole cluster-admin --user velero

但是这太失败了，下面的错误

error: failed to create clusterrolebinding: clusterrolebindings.rbac.authorization.k8s.io is forbidden: User "116865650821658545991" cannot create resource "clusterrolebindings" in API group "rbac.authorization.k8s.io" at the cluster scope: requires one of ["container.clusterRoleBindings.create"] permission(s).

对上述场景的两个查询

1. 创建clusterrolebinding资源以解决我在安装velero时看到的错误是正确的吗？
2. 如何识别“11686565081658545991”在第二次错误中的相应用户，以及创建clusterrolebinding资源需要分配哪些角色？

Answer 1

这事现在解决了。

我使用以下方法标识VM使用的服务帐户

   $ gcloud config list
   [core]
   account = 235897301806-compute@developer.gserviceaccount.com

之后，我们将角色"Kubernetes Engine Admin“分配给上面的Service account，并使用以下命令成功地安装了velero

VELERO_BUCKET=gkevelerobackup
velero install --provider gcp --plugins velero/velero-plugin-for-gcp:v1.1.0 --bucket ${VELEROBUCKET} --secret-file ./credentials-velero