Terraform使用kubernetes_manifest出现”forbidden: User “system:anonymous” cannot get path “/apis””错误

96次阅读

问题描述

在使用Terraform时，使用kubernetes_manifest资源时遇到了如下错误：

forbidden: User "system:anonymous" cannot get path "/apis"

具体错误上下文如下：

Error: Invalid configuration for API client
│   with acme.dev_env_02.kubernetes_manifest.grafana-agent,
│   on modules/acme-02/prometheus.tf line 1, in resource "kubernetes_manifest" "grafana-agent":
│    1: resource "kubernetes_manifest" "grafana-agent" {
│   forbidden: User "system:anonymous" cannot get path "/apis"

此外，用户还在使用以下资源时遇到了相同错误：

resource "kubernetes_manifest" "seccomp" {
  # 资源配置
}

解决方案

请注意以下操作可能涉及版本差异及风险操作，操作前请做好备份。

方案1 – Terraform版本不匹配或权限问题

首先，检查你的Terraform版本是否与使用的Kubernetes集群版本兼容。某些Terraform版本可能不支持最新的Kubernetes API。
另外，”forbidden: User “system:anonymous” cannot get path “/apis””错误通常是由于缺少足够的权限导致的。确保你的Terraform配置中包含正确的Kubernetes集群凭证，以便进行身份验证。

方案2 – 使用kubernetes_manifest资源的限制

在使用Terraform的kubernetes_manifest资源时，需要注意一些限制。根据Terraform官方文档[^1^]，这个资源在规划阶段需要API访问权限，这意味着集群在计划阶段必须是可访问的，因此不能在同一次应用操作中创建此资源。

这可能是你遇到问题的原因之一。确保不要在相同的Terraform文件中同时创建使用了kubernetes_manifest资源的资源。如果需要使用这个资源，尝试将资源的创建拆分成不同的Terraform操作，以确保集群在规划阶段可访问。

方案3 – 启用Kubernetes集群审计

为了更好地排查问题，你可以在Kubernetes集群上启用审计功能。审计记录可以帮助你查看发生了什么问题，从而更好地理解错误的原因。

你可以按照Kubernetes官方文档[^2^]的指引，启用集群审计功能，以便更好地跟踪问题和错误发生的原因。

总结

在使用Terraform的kubernetes_manifest资源时，遇到”forbidden: User “system:anonymous” cannot get path “/apis””错误可能是由于版本不匹配、权限问题或资源使用限制导致的。请检查你的Terraform版本，确保正确配置集群凭证，并注意资源的创建限制。如仍然无法解决问题，建议启用Kubernetes集群的审计功能以获取更多信息。

[^1^]: Terraform官方文档 – kubernetes_manifest
[^2^]: Kubernetes官方文档 – 启用审计

正文完