traefik，裸机 kubernetes：秘密不存在

Question

我在裸机 (v1.10.2) 和最新的 traefik (v1.6.2) 上使用 kubernetes 作为入口。当我想启用 traefik 路由到 httpS 服务时，我看到以下问题。 Error configuring TLS for ingress default/cheese: secret default/traefik-cert does not exist

秘密存在！为什么它报告它没有？

根据评论：无法从 traefik 服务帐户访问机密。但我不明白为什么。

详情如下：

kubectl get secret dex-tls -oyaml --as gem-lb-traefik
Error from server (Forbidden): secrets "dex-tls" is forbidden: User "gem-lb-traefik" cannot get secrets in the namespace "default"
$ kubectl describe clusterrolebinding gem-lb-traefik
Name:         gem-lb-traefik
Labels:       <none>
Annotations:  <none>
Role:
  Kind:  ClusterRole
  Name:  gem-lb-traefik
Subjects:
  Kind            Name            Namespace
  ----            ----            ---------
  ServiceAccount  gem-lb-traefik  default
$ kubectl describe clusterrole gem-lb-traefik
Name:         gem-lb-traefik
Labels:       <none>
Annotations:  <none>
PolicyRule:
  Resources             Non-Resource URLs  Resource Names  Verbs
  ---------             -----------------  --------------  -----
  endpoints             []                 []              [get list watch]
  pods                  []                 []              [get list watch]
  secrets               []                 []              [get list watch]
  services              []                 []              [get list watch]
  ingresses.extensions  []                 []              [get list watch]

我仍然不明白为什么我从服务帐户收到秘密无法访问的错误

Answer 1

首先，在这种情况下，您无法使用--as gem-lb-traefik 密钥检查对机密的访问，因为它会尝试以 user gem-lb-traefik 的身份运行命令，但您没有这样的用户，您只有 ServiceAccount 和 ClusterRole gem-lb-traefik。此外，对任何不存在的用户使用 --as <user> 键会产生与您类似的错误：

Error from server (Forbidden): secrets "<secretname>" is forbidden: User "<user>" cannot get secrets in the namespace "<namespace>"

因此，正如@Ignacio Millán 所提到的，您需要检查 Traefik 的设置并根据官方documentation 进行修复。可能你错过了 Traefik DaemonSet 描述中的 ServiceAccount。此外，您需要检查 Traefik DaemonSet 是否与您使用 ClusterRoleBinding 的 ServiceAccount 位于同一命名空间中。