部署以后查看namespace报”You must be logged in to the server (Unauthorized)“错误

[dc-weizhenhua]

环境：
k8s版本是1.23.9，按照你的文档部署keycloak后，修改了kube-apiserver文件，创建clusterrolebinding，同时也配置了credential和context：

报如下错误：

请帮忙看下，谢谢！

[cr7258]

请求带的 token 和你获取的 id_token 不一致。

[dc-weizhenhua]

我可能解的图，不对，我后面手动refresh了token，然后又获取新的id_token。

[dc-weizhenhua]

那我现在用kubeconfig里面的id_token能访问吗（能自动刷新吗），还是说需要重写获取。

[dc-weizhenhua]

另外为什么会报"you must be logged in to the server"错误

[dc-weizhenhua]

我重新试了一下，还是不行

应该是授权没过，ClusterRole 和 ClusterRoleBinding 发出来看看

[cr7258]

那我现在用kubeconfig里面的id_token能访问吗（能自动刷新吗），还是说需要重写获取。

用 Kubelogin 插件可以自动获取

[dc-weizhenhua]

那我现在用kubeconfig里面的id_token能访问吗（能自动刷新吗），还是说需要重写获取。

用 Kubelogin 插件可以自动获取

关键是我刚获取的id-token都不行

[cr7258]

应该是 RBAC 的问题，看下 ClusterRole 和 ClusterRoleBinding

[dc-weizhenhua]

我一开始就给了namespace get/watch/list的权限，后面改成放开所有了也不行

[cr7258]

你把 id_token 黏贴到 jwt.io 看下内容

[dc-weizhenhua]

[cr7258]

token 的有效时长，你有调整吗

[dc-weizhenhua]

调整了

[dc-weizhenhua]

重新通过

获取id-token，能使用这个id_token访问namespace吗；（我用这个id token还是报401错误！！！ri）
另外我的k8s apiserver是使用外部的负载均衡没影响吧。

[dc-weizhenhua]

我直接用--token指定idtoken就没问题，但我通过切换context，就会报“You must be logged in to the server (Unauthorized)”错误。

另外通过curl获取namespace还是报之前的错误！

请问大佬知道是什么问题吗

[cr7258]

执行看下是不是有获取 node 的权限：kubectl auth can-i list nodes --as tom

[cr7258]

我直接用--token指定idtoken就没问题，但我通过切换context，就会报“You must be logged in to the server (Unauthorized)”错误。

另外通过curl获取namespace还是报之前的错误！

请问大佬知道是什么问题吗

--token 后面故意跟一个错误的 token 看下还能获取 node 吗

[dc-weizhenhua]

--token 后面故意跟一个错误的 token 看下还能获取 node 吗

还真能获取node，这nm啥问题

另外一个kubectl auth can-i list nodes --as tom有个警告，但是yes

[cr7258]

kubectl get namespace --user tom --token=<id_token> 这样应该就不行了，没指定 --user

[cr7258]

你可以看下 apiserver 的日志，看下有啥异常

[dc-weizhenhua]

E1205 08:02:39.410489 1 authentication.go:63] "Unable to authenticate the request" err="invalid bearer token"

token不对，新获取的idtoken，而且是重新set crenditial

[dc-weizhenhua]

使用kubelogin还是一样的错误。

[dc-weizhenhua]

我apiserver是高可用部署的，在一台上看不到问题，在另外一台看到这个问题

[cr7258]

我apiserver是高可用部署的，在一台上看不到问题，在另外一台看到这个问题

原因是 API Server 不信任 keycloak 的证书，需要把签发 keycloak 证书的 CA 添加到 api server 的配置文件中，从而让 API Server 信任 keycloak 的证书。