"сервисы запрещены: пользователь \" system: serviceaccount:tick:external-dns \ "не может перечислить ресурс \" сервисы \ "в группе API \" \ "в области кластера"

Question

Я следил за пошаговым руководством по созданию AWS ALB Ingress Controller для моего приложения, которое также развертывается в кластере EKS.
Все вроде нормально, ответы схожи с пошаговым руководством, но когда дело доходит до настройки внешнего DNS, я получаю сообщение об ошибке:

kubectl logs -f $(kubectl get po | egrep -o 'external-dns[A-Za-z0-9-]+')

time="2020-02-20T16:21:57Z" level=error msg= "услуги запрещены: пользователь \"system:serviceaccount:tick:external-dns\"не может перечислить ресурс \" услуги \ "в группе API \"\ "в области кластера" time="2020-02-20T16:22:58Z" level=error msg="сервисы запрещены: пользователь \"system:serviceaccount:tick:external-dns\"не может перечислить ресурсы \" сервисы \ "в группе API \"\ "в области кластера"

каждую минуту. Я убедился, что все разрешения нужны, поэтому этого не должно быть.

Я пробовал решения здесь, но ничего не помогло, и я не мог найти других решений.

Что на практике означает эта ошибка? Что мне делать, чтобы это исправить?

ОБНОВЛЕНИЕ РЕДАКТИРОВАТЬ мой external-dns конфигурация выглядит так:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: external-dns
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::*my*account*id*:role/EKSRole
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: external-dns
rules:
- apiGroups: [""]
  resources: ["services"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","watch","list"]
- apiGroups: ["extensions"]
  resources: ["ingresses"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["list","watch"]
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: external-dns-viewer
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: external-dns
subjects:
- kind: ServiceAccount
  name: external-dns
  namespace: tick
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: external-dns
spec:
  selector:
    matchLabels:
      app: external-dns
  strategy:
    type: Recreate
  template:
    metadata:
      labels:
        app: external-dns
      annotations:
        iam.amazonaws.com/role: arn:aws:iam::*my*account*id*:role/EKSRole
    spec:
      serviceAccountName: external-dns
      containers:
      - name: external-dns
        image: registry.opensource.zalan.do/teapot/external-dns:v0.5.9
        args:
        - --source=service
        - --source=ingress
        - --domain-filter=external-dns-test.my-org.com   #external-dns-test.my-org.com # will make ExternalDNS see only the hosted zones matching provided domain, omit to process all available hosted zones
        - --provider=aws
        - --policy=upsert-only # would prevent ExternalDNS from deleting any records, omit to enable full synchronization
        - --aws-zone-type=public # only look at public hosted zones (valid values are public, private or no value for both)
        - --registry=txt
        - --txt-owner-id=my-identifier
      securityContext:
        fsGroup: 65534

Answer 1

Ваша ошибка предполагает, что учетная запись службы с именем external-dns в tickпространство имен не может выполнять определенные действия. В данном случае это список услуг. Чтобы решить эту проблему, вы можете применить следующее:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: external-dns
  namespace: tick
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRole
metadata:
  name: external-dns-role
rules:
- apiGroups: [""]
  resources: ["services"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","watch","list"]
- apiGroups: ["extensions"]
  resources: ["ingresses"]
  verbs: ["get","watch","list"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["list","watch"]
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: external-dns-role-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: external-dns-role
subjects:
- kind: ServiceAccount
  name: external-dns
  namespace: tick

Обратите внимание, что первое правило внутри ClusterRole предоставляет правильные разрешения для перечисления служб в "" apiGroup, что устраняет ошибку, о которой вы сообщили в своем вопросе.

Answer 2

Я думаю, что вы используете Amazon EKS с IAM ролей поэтому учетные записи служб следующие это должно работать. В пошаговом руководстве, которое вы следовали, в файле yaml шага 2 раздела внешнего DNS нет вашего

annotations:
    # Substitute your account ID and IAM service role name below.
    eks.amazonaws.com/role-arn: arn:aws:iam::ACCOUNT-ID:role/IAM-SERVICE-ROLE-NAME

Эта ошибка практически означает, что ваш serviceaccount (external-dns) не имеет разрешений на доступ к серверу api kubernetes.