«Службы запрещены: пользователь \» система: serviceaccount: tick: external-dns \ »не может перечислить ресурс« службы »в группе API« »в области видимости кластера»

Question

Я выполняю пошаговое руководство , чтобы создать AWS ALB Ingress Controller для моего приложения, которое также развернуто в кластере EKS.
Все вроде бы в порядке, похожие ответы с пошаговым руководством, но когда дело доходит до настройки внешнего DNS, я получаю сообщение об ошибке:

kubectl logs -f $(kubectl get po | egrep -o 'external-dns[A-Za-z0-9-]+')

time = "2020-02-20T16: 21: 57Z "level = error msg =" services Запрещено: пользователь \ "system: serviceaccount: tick: external-dns \" не может перечислить ресурс \ "services \" в группе API \ "\" в области действия кластера "time = «2020-02-20T16: 22: 58Z» level = error msg = «Службы запрещены: пользователь \» system: serviceaccount: tick: external-dns \ «не может перечислить ресурс \« services \ »в группе API \" \ " в области действия кластера "

каждую минуту. Я убедился, что все разрешения являются необходимыми, поэтому не должно быть из-за этого.

Я попробовал решения из здесь , но ничего не помогло, и я не мог найти другие решения.

Что означает эта ошибка практически? Что я должен сделать, чтобы это исправить?

ОБНОВЛЕНИЕ РЕДАКТИРОВАТЬ моя конфигурация external-dns выглядит так:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: external-dns
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::*my*account*id*:role/EKSRole
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: external-dns
rules:
- apiGroups: [""]
  resources: ["services"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","watch","list"]
- apiGroups: ["extensions"]
  resources: ["ingresses"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["list","watch"]
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: external-dns-viewer
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: external-dns
subjects:
- kind: ServiceAccount
  name: external-dns
  namespace: tick
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: external-dns
spec:
  selector:
    matchLabels:
      app: external-dns
  strategy:
    type: Recreate
  template:
    metadata:
      labels:
        app: external-dns
      annotations:
        iam.amazonaws.com/role: arn:aws:iam::*my*account*id*:role/EKSRole
    spec:
      serviceAccountName: external-dns
      containers:
      - name: external-dns
        image: registry.opensource.zalan.do/teapot/external-dns:v0.5.9
        args:
        - --source=service
        - --source=ingress
        - --domain-filter=external-dns-test.my-org.com   #external-dns-test.my-org.com # will make ExternalDNS see only the hosted zones matching provided domain, omit to process all available hosted zones
        - --provider=aws
        - --policy=upsert-only # would prevent ExternalDNS from deleting any records, omit to enable full synchronization
        - --aws-zone-type=public # only look at public hosted zones (valid values are public, private or no value for both)
        - --registry=txt
        - --txt-owner-id=my-identifier
      securityContext:
        fsGroup: 65534

Answer 1

Ваша ошибка говорит о том, что служебная учетная запись с именем external-dns в tick пространстве имен не может выполнять определенные действия. В данном случае это список услуг. Чтобы решить эту проблему, вы можете применить следующее:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: external-dns
  namespace: tick
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: external-dns-role
rules:
- apiGroups: [""]
  resources: ["services"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","watch","list"]
- apiGroups: ["extensions"]
  resources: ["ingresses"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["list","watch"]
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: external-dns-role-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: external-dns-role
subjects:
- kind: ServiceAccount
  name: external-dns
  namespace: tick

Обратите внимание, что первое правило внутри ClusterRole предоставляет правильные разрешения для списка служб в "" apiGroup, что решает ошибку, о которой вы сообщили в своем вопросе.

Answer 2

Я думаю, что вы используете Amazon EKS с ролями IAM для учетных записей служб, поэтому после это должно работать. Пошаговое руководство, за которым вы следовали, во внешнем разделе DNS. Шаг 2 В файле yaml нет вашего

annotations:
    # Substitute your account ID and IAM service role name below.
    eks.amazonaws.com/role-arn: arn:aws:iam::ACCOUNT-ID:role/IAM-SERVICE-ROLE-NAME

Эта ошибка практически означает, что у вашей учетной записи службы (external-dns) нет разрешения на доступ к серверу kubernetes api