Helm: उपयोगकर्ता "सिस्टम: serviceaccount: kube- सिस्टम: डिफ़ॉल्ट" नामस्थान में नाम स्थान "डिफ़ॉल्ट" प्राप्त नहीं कर सकता

ऐसा लगता है कि आपको विशेषाधिकारों से संबंधित समस्या का सामना करना पड़ा है।
चार्ट को तैनात करते समय आप rbac को सक्षम कर सकते हैं:

$ helm install --name nginx --set rbac.create=true stable/nginx-ingress

@ flyer103

यह अभी भी काम नहीं कर सकता है।

वही समस्या है। Rbac को सक्षम करने से मदद नहीं मिलती है।

$ kubectl version
Client Version: version.Info{Major:"1", Minor:"8", GitVersion:"v1.8.3", GitCommit:"f0efb3cb883751c5ffdbe6d515f3cb4fbe7b7acd", GitTreeState:"clean", BuildDate:"2017-11-10T13:17:12Z", GoVersion:"go1.9.2", Compiler:"gc", Platform:"darwin/amd64"}
Server Version: version.Info{Major:"1", Minor:"8", GitVersion:"v1.8.2", GitCommit:"bdaeafa71f6c7c04636251031f93464384d54963", GitTreeState:"clean", BuildDate:"2017-10-24T19:38:10Z", GoVersion:"go1.8.3", Compiler:"gc", Platform:"linux/amd64"}

$ helm install --name my-hdfs-namenode hdfs-namenode-k8s
Error: release my-hdfs-namenode failed: namespaces "default" is forbidden: User "system:serviceaccount:kube-system:default" cannot get namespaces in the namespace "default"

मदद वास्तव में सराहना की जाएगी!

आपको डिफ़ॉल्ट नाम स्थान में संसाधन स्थापित करने के लिए टिलर (डिफ़ॉल्ट सेवा खाते के माध्यम से) तक पहुंच प्रदान करने की आवश्यकता है। Https://github.com/kubernetes/helm/blob/master/docs/service_accounts.d देखें

नमस्ते, @bacongobbler
मदद के लिए धन्यवाद। मैं ऊपर बताए गए आपके निर्देशों का पालन करता हूं, और मैंने निम्नलिखित चीजें की हैं:
सबसे पहले, मैं टिलर को रीसेट करता हूं:

helm reset --force

ऐसा करने के बाद, मैं एक RBAC yaml फ़ाइल बनाता हूं:

[root@k8s-master3 ~]# cat rbac-config.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: default
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: tiller
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: tiller
    namespace: default

और फिर मेरे टिलर को init करें:

helm init --service-account tiller --upgrade -i registry.cn-hangzhou.aliyuncs.com/google_containers/tiller:v2.7.0 --stable-repo-url https://kubernetes.oss-cn-hangzhou.aliyuncs.com/charts

हालाँकि, टिलर को सफलतापूर्वक स्थापित नहीं किया गया है:

[root@k8s-master3 ~]# helm version
Client: &version.Version{SemVer:"v2.7.0", GitCommit:"08c1144f5eb3e3b636d9775617287cc26e53dba4", GitTreeState:"clean"}
Error: cannot connect to Tiller

और मैं kube-system नाम स्थान में तैनाती को सीवे करता हूं:

[root@k8s-master3 ~]# kubectl get deployments --all-namespaces
NAMESPACE     NAME                       DESIRED   CURRENT   UP-TO-DATE   AVAILABLE   AGE
ci            jenkins                    1         1         1            1           5d
default       redis-master               1         1         1            0           4d
kube-system   default-http-backend       1         1         1            1           5d
kube-system   heapster                   1         1         1            1           5d
kube-system   kube-dns                   1         1         1            1           5d
kube-system   kubernetes-dashboard       1         1         1            1           5d
kube-system   monitoring-influxdb        1         1         1            1           5d
kube-system   nginx-ingress-controller   1         1         1            1           5d
kube-system   tiller-deploy              1         0         0            0           9m

इस समस्या को हल करने के बारे में कोई विचार?
अग्रिम में धन्यवाद!

@ नोप्रोम यह प्रयास करें

मैन्युअल रूप से टिलर की तैनाती को हटा दें

टिलर के लिए ये rbac कॉन्फिगर बनाएं

apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system
---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-clusterrolebinding
subjects:
- kind: ServiceAccount
  name: tiller
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: ""

उस rbac कॉन्फिग पर डिलीट (यस डिलीट) चलाएं
फिर से बनाएँ
तब पतवार init --upgrad को चलाने के लिए बदलें

आपको और त्रुटियां नहीं होनी चाहिए।

@ जिनोविया
वाह् भई वाह! धन्यवाद, मैंने इस समस्या को हल कर दिया है।
आपका बहुत बहुत धन्यवाद!

मदद करने के लिए खुश :)

@noprom कृपया मेरी पोस्ट की जाँच करें कि कैसे प्रति नामस्थान के साथ rbac के साथ हेल्म और टिलर सेटअप करें

@ जिनोविया
शानदार पोस्ट! 😄

धन्यवाद!

ऊपर अभी भी काम नहीं कर रहा है

namespaces "default" is forbidden: User "system:serviceaccount:kube-system:default" cannot get namespaces in the namespace "default"

ऐसा इसलिए है क्योंकि आपके पास टिलर को तैनात करने की अनुमति नहीं है, इसके लिए एक खाता जोड़ें:

kubectl --namespace kube-system create serviceaccount tiller

kubectl create clusterrolebinding tiller-cluster-rule \
 --clusterrole=cluster-admin --serviceaccount=kube-system:tiller

kubectl --namespace kube-system patch deploy tiller-deploy \
 -p '{"spec":{"template":{"spec":{"serviceAccount":"tiller"}}}}' 

कंसोल आउटपुट:

serviceaccount "tiller" created
clusterrolebinding "tiller-cluster-rule" created
deployment "tiller-deploy" patched

फिर इसे जांचने के लिए नीचे कमांड चलाएँ:

helm list
helm repo update
helm install --name nginx-ingress stable/nginx-ingress

@ykfq एक टन धन्यवाद, यह काम करता है! लेकिन हर बार, हम एक नए क्लस्टर पर तैनात होते हैं, हमें ऐसा करने की आवश्यकता है? क्या असुविधा है!

@ एंट्रान .89
यदि आप आधिकारिक टिलर इंस्टॉलेशन निर्देश का उपयोग करते हैं, तो आपको ऐसा करना होगा:

• टिलर के लिए एक सर्विकल बनाएँ
• ऊपर बनाई गई ServiceAccout के लिए एक भूमिका बाँधें (क्लस्टर-व्यवस्थापक भूमिका की आवश्यकता है)
• ServiceAccout के लिए एक ClusterRoleBinding बनाएं
• helm init का उपयोग करते समय बनाई गई परिनियोजन पैच करें

इसलिए, इसे आसान बनाने का एक और तरीका है - yaml फ़ाइल के माध्यम से इंस्टॉल करें:

vim tiller.yaml

apiVersion: v1
kind: Service
metadata:
  name: tiller-deploy
  namespace: kube-system
  labels:
    app: helm
    name: tiller
spec:
  ports:
  - name: tiller
    port: 44134
    protocol: TCP
    targetPort: tiller
  selector:
    app: helm
    name: tiller
  type: ClusterIP
---
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: tiller-deploy
  namespace: kube-system
  labels:
    app: helm
    name: tiller
  annotations:
    deployment.kubernetes.io/revision: "5"
spec:
  replicas: 1
  selector:
    matchLabels:
      app: helm
      name: tiller
  template:
    metadata:
      labels:
        app: helm
        name: tiller
    spec:
      containers:
      - env:
        - name: TILLER_NAMESPACE
          value: kube-system
        - name: TILLER_HISTORY_MAX
          value: "0"
        name: tiller
        image: gcr.io/kubernetes-helm/tiller:v2.8.2
        imagePullPolicy: IfNotPresent
        ports:
        - containerPort: 44134
          name: tiller
          protocol: TCP
        - containerPort: 44135
          name: http
          protocol: TCP
        livenessProbe:
          failureThreshold: 3
          httpGet:
            path: /liveness
            port: 44135
            scheme: HTTP
          initialDelaySeconds: 1
          periodSeconds: 10
          successThreshold: 1
          timeoutSeconds: 1
        readinessProbe:
          failureThreshold: 3
          httpGet:
            path: /readiness
            port: 44135
            scheme: HTTP
          initialDelaySeconds: 1
          periodSeconds: 10
          successThreshold: 1
          timeoutSeconds: 1
        resources: {}
        terminationMessagePath: /dev/termination-log
        terminationMessagePolicy: File
      dnsPolicy: ClusterFirst
      restartPolicy: Always
      serviceAccount: tiller
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system
---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-cluster-rule
subjects:
- kind: ServiceAccount
  name: tiller
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: ""

फिर resourses बनाएँ:

kubectl create -f tiller.yaml

अपनी सेवा की जाँच करना सुनिश्चित करें।

उपर्युक्त yaml सामग्री को कमांड का उपयोग करके, एक रनिंग क्लस्टर से निर्यात किया गया था:

kubectl -n kube-system get svc tiller-deploy -o=yaml
kubectl -n kube-system get deploy tiller-deploy -o=yaml
kubectl -n kube-system get sa tiller -o=yaml
kubectl -n kube-system get clusterrolebinding tiller-cluster-rule -o=yaml

इस याम्ल ने अभी तक परीक्षण नहीं किया है, यदि आपके कोई प्रश्न हैं, तो टिप्पणी करें।

@ykfq मुझे टिलर फुल क्लस्टर एडमिन विशेषाधिकार देने का विचार पसंद नहीं है, लेकिन मेरे लिए कुछ और काम नहीं किया। मैंने इस उदाहरण का अनुसरण करने की कोशिश की। मैं केवल नाम स्थान पर अभिनय करने के लिए टिलर को प्रतिबंधित करने की कोशिश कर रहा था मैंने इसे अभिनय करने दिया।

लेकिन हमेशा इस मुद्दे में भाग गया (कॉनकोर्स की तैनाती कर रहा था):

Error: release concourse failed: namespaces "concourse" is forbidden: User "system:serviceaccount:tiller-system:tiller-user" cannot get namespaces in the namespace "concourse": Unknown user "system:serviceaccount:tiller-system:tiller-user"

उस विशिष्ट उदाहरण को कैसे काम करना है इसका कोई विचार? मैंने कुछ मापदंडों को बदल दिया, RACAC के साथ पूरा YAML यह एक था:

apiVersion: v1
kind: Namespace
metadata:
  name: tiller-system
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller-user
  namespace: tiller-system
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-manager
  namespace: tiller-system
rules:
- apiGroups: ["", "extensions", "apps"]
  resources: ["configmaps"]
  verbs: ["*"]
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-binding
  namespace: tiller-system
subjects:
- kind: ServiceAccount
  name: tiller-user
  namespace: tiller-system
roleRef:
  kind: Role
  name: tiller-manager
  apiGroup: rbac.authorization.k8s.io
---
apiVersion: v1
kind: Namespace
metadata:
  name: concourse
---
apiVersion: v1
kind: Namespace
metadata:
  name: concourse-main
----
kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-concourse-role
  namespace: concourse
rules:
- apiGroups: ["", "extensions", "apps"]
  resources: ["*"]
  verbs: ["*"]
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-concourse-namespace-role
  namespace: concourse
rules:
- apiGroups: ["", "extensions", "apps"]
  resources: ["namespaces"]
  verbs: ["*"]
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-concourse-main-role
  namespace: concourse-main
rules:
- apiGroups: ["", "extensions", "apps"]
  resources: ["*"]
  verbs: ["*"]
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-concourse-main-role
subjects:
- kind: ServiceAccount
  name: tiller-user
  namespace: tiller-system
roleRef:
  kind: Role
  name: tiller-concourse-main-role
  apiGroup: rbac.authorization.k8s.io
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-concourse-role
subjects:
- kind: ServiceAccount
  name: tiller-user
  namespace: tiller-system
roleRef:
  kind: Role
  name: tiller-concourse-role
  apiGroup: rbac.authorization.k8s.io
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: tiller-concourse-namespace-role
subjects:
- kind: ServiceAccount
  name: tiller-user
  namespace: tiller-system
roleRef:
  kind: Role
  name: tiller-concourse-namespace-role
  apiGroup: rbac.authorization.k8s.io

पतवार init --upgrad --service- खाता टिलर

@brunoban helm v3 टिलर को हटा देगा ताकि जो मुझे समझ में आया उसे लागू करने वाले की अनुमति हो

@inovia ओह ... मुझे नहीं पता था कि। गोना अब गति करने के लिए उठने की कोशिश करते हैं। धन्यवाद!

तब पतवार init --upgrad को चलाने के लिए बदलें

@innovia rbac config फाइल कहाँ रखें?

@cjbottaro क्या आपने वह पोस्ट पढ़ी है जो मैंने लिखी है और प्रति नाम स्थान पर टिलर लगाना है ?

मैं आपके प्रश्न का पालन नहीं करता, क्या आप कृपया पुनः बता सकते हैं?

@inovia नेवरमाइंड, मुझे लगा। बस दौड़ना था

kubectl create -f tiller.yaml
helm init --upgrade --service-account tiller

यह मेरे लिए काम किया:

kubectl - namespace kube-system बनाने के लिए सर्विसिक टिलर
kubectl क्लस्टर-बाउंडिंग टिलर बनाएँ --clusterrole क्लस्टर-व्यवस्थापक --serviceaccount = kube- सिस्टम: Tiller
पतवार init --service- खाता टिलर - अपग्रेड

मैं एक नाम स्थान में टिलर को तैनात करने के लिए आधिकारिक हेल्म

Namespace="$1"

kubectl create namespace $Namespace
kubectl create serviceaccount "tiller-$Namespace" --namespace $Namespace
kubectl create role "tiller-role-$Namespace" /
    --namespace $Namespace /
    --verb=* /
    --resource=*.,*.apps,*.batch,*.extensions
kubectl create rolebinding "tiller-rolebinding-$Namespace" /
    --namespace $Namespace /
    --role="tiller-role-$Namespace" /
    --serviceaccount="$Namespace:tiller-$Namespace"

helm upgrade चलने से मुझे निम्न त्रुटि मिलती है:

त्रुटि: UPGRADE विफल: कॉन्फ़िगरेशन प्रतिबंधित है: उपयोगकर्ता " सिस्टम: serviceaccount : kube- सिस्टम: डिफ़ॉल्ट " नामस्थान में कॉन्फैप को "kube-system" सूचीबद्ध नहीं कर सकता है

क्या आधिकारिक दस्तावेज में कोई बग है? क्या मैंने इसे गलत पढ़ा है?

helm init लिए पूर्ण आदेश क्या था? क्या आप इसके लिए एक अलग टिकट खोल सकते हैं?

@bacongobbler मूव्ड मुद्दा यहां https://github.com/helm/helm/issues/4933

ऊपर अभी भी काम नहीं कर रहा है

namespaces "default" is forbidden: User "system:serviceaccount:kube-system:default" cannot get namespaces in the namespace "default"

नीचे दिए गए आदेश का पालन करें

पतवार init --service-खाता टिलर --upgrade मैं registry.cn-hangzhou.aliyuncs.com/google_containers/ टिलर: v2.14.0 -स्थिर-रेपो-यूआरएल https: //kubernetes.oss-cn-hangzhou.aliyuncs .com / चार्ट

आपको डिफ़ॉल्ट नाम स्थान में संसाधन स्थापित करने के लिए टिलर (डिफ़ॉल्ट सेवा खाते के माध्यम से) तक पहुंच प्रदान करने की आवश्यकता है। Https://github.com/kubernetes/helm/blob/master/docs/service_accounts.d देखें

फ़ाइल का नाम अब rbac.md और लिंक https://github.com/helm/helm/blob/master/docs/rbac.md पर है।

ऐसा इसलिए है क्योंकि आपके पास टिलर को तैनात करने की अनुमति नहीं है, इसके लिए एक खाता जोड़ें:

kubectl --namespace kube-system create serviceaccount tiller

kubectl create clusterrolebinding tiller-cluster-rule \
 --clusterrole=cluster-admin --serviceaccount=kube-system:tiller

kubectl --namespace kube-system patch deploy tiller-deploy \
 -p '{"spec":{"template":{"spec":{"serviceAccount":"tiller"}}}}' 

कंसोल आउटपुट:

serviceaccount "tiller" created
clusterrolebinding "tiller-cluster-rule" created
deployment "tiller-deploy" patched

फिर इसे जांचने के लिए नीचे कमांड चलाएँ:

helm list
helm repo update
helm install --name nginx-ingress stable/nginx-ingress

यह बहुत अच्छा होगा यदि टिलर इंस्टॉलेशन डॉक्स को इन सटीक निर्देशों के साथ अपडेट किया जाए
मेरे पास निम्न यमल था

apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system
---

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: tiller
roleRef:
  apiGroup: ""
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: tiller
    namespace: kube-system

अगर मैं सही हूँ तो मुझे इस yaml में tiller deployment कमी थी?

पतवार init --upgrad --service- खाता टिलर

उपरोक्त आदेश इस समस्या को हल करता है, पहले इस चरण की अत्यधिक अनुशंसा करता है :)