更新时间:2025-07-07 GMT+08:00

通过kubectl连接集群

kubectl是Kubernetes提供的一种命令行工具,它用于与Kubernetes集群进行交互,帮助用户管理集群中的资源、查看集群状态、部署应用程序、进行调试等操作。通过kubectl,您可以方便地在命令行界面上执行集群管理任务。如果客户端需要通过kubectl连接到CCE集群,可以选择两种访问方式:
  • 内网访问:客户端通过内网IP地址与集群的API Server进行通信,数据流量不会经过互联网,安全性更强。
  • 公网访问:集群的API Server会暴露一个公共接口,客户端可以通过互联网访问Kubernetes集群。

本文将以CCE Standard集群为例,介绍如何通过kubectl连接CCE集群。

前提条件

  • 当您使用内网访问时,请确保客户端与待访问集群在同一VPC内。
  • 当您使用公网访问时,请确保客户端具备访问公网的能力,并且待访问集群已绑定公网地址。关于集群绑定公网地址的具体步骤,请参见为API Server绑定EIP

    绑定公网集群的kube-apiserver将会暴露到互联网,存在被攻击的风险,建议对kube-apiserver所在节点的EIP配置DDoS高防服务或设置安全组规则

约束与限制

kubectl访问CCE集群时,通过集群上生成的配置文件(kubeconfig)进行认证,kubeconfig文件内包含用户信息,CCE根据用户信息的权限判断kubectl有权限访问哪些Kubernetes资源。即用户所获取的kubeconfig文件中包含该用户的身份信息,因此在使用kubectl进行访问时,将继承该用户的权限。

用户拥有的权限请参见集群权限(IAM授权)与命名空间权限(Kubernetes RBAC授权)的关系

使用kubectl连接集群

使用kubectl连接集群时,您需要先在客户端中安装kubectl。随后在集群中下载kubectl配置文件,并复制至客户端,在客户端中完成相关配置后即可访问对应的CCE集群。使用kubectl连接集群的具体步骤如下:

  1. 下载kubectl

    您需要准备一台可访问公网的客户端计算机,并通过命令行方式安装kubectl。如果已经安装kubectl,则跳过此步骤,您可执行kubectl version命令判断是否已安装kubectl。

    本文以Linux环境为例安装和配置kubectl,详情请参考安装kubectl

    1. 登录到您的客户端计算机,下载kubectl。
      cd /home
      curl -LO https://dl.k8s.io/release/{v1.25.0}/bin/linux/amd64/kubectl

      其中{v1.25.0}为指定的版本号,请根据集群版本进行替换。

    2. 安装kubectl。
      chmod +x kubectl
      mv -f kubectl /usr/local/bin

  2. 获取kubectl配置文件

    1. 在集群“概览”页中的“连接信息”版块,单击kubectl后的“配置”按钮,查看kubectl的连接信息。

    2. 在弹出页面中选择“内网访问”或“公网访问”,下载对应的配置文件。
    • kubectl配置文件(kubeconfig)用于对接认证集群,请您妥善保存该认证凭据,防止文件泄露后,集群有被攻击的风险。
    • IAM用户下载的配置文件所拥有的Kubernetes权限与CCE控制台上IAM用户所拥有的权限一致。
    • 如果Linux系统里面配置了KUBECONFIG环境变量,kubectl会优先加载KUBECONFIG环境变量,而不是$home/.kube/config,使用时请注意。

  3. 配置kubectl

    以Linux环境为例配置kubectl。
    1. 登录到您的客户端计算机,复制2中下载的配置文件(以kubeconfig.yaml为例)到您客户端机器的/home目录下。
    2. 配置kubectl认证文件。
      cd /home
      mkdir -p $HOME/.kube
      mv -f kubeconfig.yaml $HOME/.kube/config
    3. 根据使用场景,切换kubectl的访问模式。
      • VPC内网接入访问请执行:
        kubectl config use-context internal
      • 互联网接入访问请执行(集群需绑定公网地址):
        kubectl config use-context external
      • 互联网接入访问如需开启双向认证请执行(集群需绑定公网地址):
        kubectl config use-context externalTLSVerify

        关于集群双向认证的说明请参见域名双向认证

  4. 在客户端中执行以下命令,检查客户端能否通过kubectl连接集群。

    kubectl cluster-info    # 查看集群信息

    若回显结果如下,则说明客户端能够通过kubectl连接集群。

    Kubernetes control plane is running at https://xx.xx.xx.xx:5443
    CoreDNS is running at https://xx.xx.xx.xx:5443/api/v1/namespaces/kube-system/services/coredns:dns/proxy
    To further debug and diagnose cluster problems, use 'kubectl cluster-info dump'.

域名双向认证

域名双向认证一种双向身份验证机制,它确保通信双方(即客户端和服务器)都能够验证对方的身份。这种认证方式可以增强集群与客户端之间的安全性,防止未经授权的访问。

  • 集群API Server绑定EIP后,使用kubectl连接集群时域名双向认证默认不开启,可通过 kubectl config use-context externalTLSVerify 命令切换到externalTLSVerify这个context开启使用。
  • 集群绑定或解绑弹性IP、配置或更新自定义域名时,集群服务端证书将同步签入最新的集群访问地址(包括集群绑定的弹性IP、集群配置的所有自定义域名)。
  • 异步同步集群通常耗时约5-10min,同步结果可以在操作记录中查看“同步证书”。
  • 对于已绑定EIP的集群,如果在使用双向认证时出现认证不通过的情况(x509: certificate is valid),需要重新绑定EIP并重新下载kubeconfig.yaml。
  • 早期未支持域名双向认证时,kubeconfig.yaml中包含"insecure-skip-tls-verify": true字段,如图1所示。如果需要使用双向认证,您可以重新下载kubeconfig.yaml文件并配置开启域名双向认证。
    图1 未开启域名双向认证

常见问题

  • Error from server Forbidden

    使用kubectl在创建或查询Kubernetes资源时,显示如下内容:

    # kubectl get deploy Error from server (Forbidden): deployments.apps is forbidden: User "0c97ac3cb280f4d91fa7c0096739e1f8" cannot list resource "deployments" in API group "apps" in the namespace "default"

    原因是用户没有操作该Kubernetes资源的权限,请参见命名空间权限(Kubernetes RBAC授权)为用户授权。

  • The connection to the server localhost:8080 was refused

    使用kubectl在创建或查询Kubernetes资源时,显示如下内容:

    The connection to the server localhost:8080 was refused - did you specify the right host or port?

    原因是由于该kubectl客户端未配置集群认证,请参见3进行配置。