1、报错
E0827 09:33:24.574300 1 reflector.go:205] github.com/kubernetes-incubator/external-storage/lib/controller/controller.go:496: Failed to list *v1.PersistentVolumeClaim: Unauthorized
E0827 09:33:24.654812 1 reflector.go:205] github.com/kubernetes-incubator/external-storage/lib/controller/controller.go:497: Failed to list *v1.PersistentVolume: Unauthorized
这些错误消息表明 nfs-provisioner-01 存储类的provisioner 在尝试列出StorageClass、PersistentVolumeClaim (PVC) 和 PersistentVolume (PV) 时遇到了权限问题。具体来说,provisioner 收到了 “Unauthorized” 错误,这意味着它没有足够的权限执行这些操作。
2 、问题分析
权限不足:
Provisioner 没有足够的权限来列出StorageClass、PVC 和 PV。
这可能是由于provisioner使用的ServiceAccount没有正确的角色或角色绑定。
角色绑定问题:
Role 或 RoleBinding 没有正确地赋予provisioner使用的ServiceAccount。
Role 或 RoleBinding 的权限范围不够宽泛,无法覆盖所需的API资源。
3、 解决方案
检查ServiceAccount:
确认provisioner使用的ServiceAccount是否正确配置。
使用命令 kubectl get sa -n 来查看ServiceAccount的状态。
kubectl get ServiceAccount nfs-client-provisioner -n kube-system -o yaml
apiVersion: v1
kind: ServiceAccount
metadata:
annotations:
kubectl.kubernetes.io/last-applied-configuration: |
{"apiVersion":"v1","kind":"ServiceAccount","metadata":{"annotations":{},"name":"nfs-client-provisioner","namespace":"kube-system"}}
creationTimestamp: "2022-12-21T09:34:32Z"
name: nfs-client-provisioner
namespace: kube-system
resourceVersion: "10516902"
selfLink: /api/v1/namespaces/kube-system/serviceaccounts/nfs-client-provisioner
uid: 86570b67-0a59-4c78-af64-7ca9855e11ba
secrets:
- name: nfs-client-provisioner-token-7kptr
检查Role和RoleBinding:
确认provisioner使用的ServiceAccount具有正确的Role和RoleBinding。
使用命令 kubectl get rolebinding -n 和 kubectl get role -n 来查看Role和RoleBinding的状态。
发现都没有对应的配置
创建或更新Role和RoleBinding:
如果没有适当的Role和RoleBinding,请创建它们。
如果已有的Role和RoleBinding权限不足,请更新它们。
示例 YAML 文件
下面是一个示例 YAML 文件,用于创建Role和RoleBinding,以授予provisioner所需的权限:
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
name: leader-locking-nfs-client-provisioner
# replace with namespace where provisioner is deployed
namespace: kube-system
rules:
- apiGroups: [""]
resources: ["endpoints"]
verbs: ["get", "list", "watch", "create", "update", "patch"]
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
name: leader-locking-nfs-client-provisioner
# replace with namespace where provisioner is deployed
namespace: kube-system
subjects:
- kind: ServiceAccount
name: nfs-client-provisioner
# replace with namespace where provisioner is deployed
namespace: default
roleRef:
kind: Role
name: leader-locking-nfs-client-provisioner
apiGroup: rbac.authorization.k8s.io
应用 YAML 文件
创建Role和RoleBinding:
使用命令 kubectl apply -f <role-and-binding.yaml> 来创建Role和RoleBinding。
检查Role和RoleBinding:
使用命令 kubectl get role nfs-provisioner-role -n 和 kubectl get rolebinding nfs-provisioner-binding -n 来查看Role和RoleBinding的状态。
进一步的步骤
检查provisioner日志:
使用命令 kubectl logs -n 来查看provisioner容器的日志,以确认权限问题是否已解决。
检查Pod状态:
使用命令 kubectl get pods 来查看Pod的状态。
使用命令 kubectl describe pod 来获取Pod的详细信息。
检查PVC状态:
使用命令 kubectl get pvc 来查看PVC的状态。
使用命令 kubectl describe pvc 来获取PVC的详细信息。