---
source_url: 
ingested: 2026-08-02
status: inbox
---

# K3s RBAC 限制发现：nginxmon auto_ban 写 ConfigMap 403（2026-08-02）

## 现象
links 进程内 APScheduler 任务 `nginxmon auto_ban` 周期性报错：
`configmaps "ingress-nginx-controller" is forbidden: User "system:serviceaccount:ai:ai-bot" cannot patch resource "configmaps" in API group "" in the namespace "ingress-nginx"` (403)。

## 结论
- K3s 集群中 `ai:ai-bot` serviceaccount **没有 `ingress-nginx` namespace 的 configmaps patch 权限**，nginxmon 的自动封禁（auto_ban）机制实际是失效的（日志插入正常，只有写 ConfigMap 被拦）。
- 属于环境 RBAC 约束而非代码 bug；要启用 auto_ban 需大哥给该 serviceaccount 授权（RBAC Role/RoleBinding）。
- 同类权限约束已知先例：ai-bot 无 `pods/portforward` 权限（生产验证不能用 port-forward，得 kubectl exec + 容器内 curl localhost:8000）。

## 记录价值
Agent 排障时遇到 403 可先归类为已知 RBAC 限制，不要误判为代码问题去"修"。
