Docker容器运行时Kubernetes Java Client无法找到配置的问题

问题描述 #

我有一个基于Fabric8 Kubernetes Java Client开发的Java服务，本地执行java -jar my-service.jar时能正常连接Kubernetes集群，但构建Docker镜像并运行容器时出现以下错误：

Did not find Kubernetes config at: [/root/.kube/config]. Ignoring.
Trying to configure client from service account...
Did not find service account ca cert at: [/var/run/secrets/kubernetes.io/serviceaccount/ca.crt}].
Could not find the service account token at the default location: [/var/run/secrets/kubernetes.io/serviceaccount/token]. Ignoring.
Trying to configure client namespace from Kubernetes service account namespace path...
Did not find service account namespace at: [/var/run/secrets/kubernetes.io/serviceaccount/namespace]. Ignoring.

环境：使用MiniKube集群，本地运行服务正常，Docker容器运行同一服务报错。

已执行的排查操作：

• 在容器内执行cat /root/.kube/config，确认配置文件存在且内容符合预期
• 在容器内显式设置环境变量：export KUBECONFIG=/root/.kube/config
• 运行Docker容器时挂载kube配置卷：docker run -v $HOME/.kube:/root/.kube my-service:latest

疑问：明明容器内的/root/.kube/config存在，为什么Java Client不读取它？是不是忽略了Docker与Kubernetes凭据交互的细节？

解决方案 #

1. 检查容器运行用户权限 #

默认情况下，Docker容器可能以非root用户启动，而挂载的/root/.kube/config属于root用户，普通用户无读取权限。解决方式：

• 在Dockerfile中添加USER root，确保容器以root用户启动
• 或者切换到非root用户，调整挂载路径：

  RUN useradd -m app
  RUN mkdir -p /home/app/.kube && chown -R app:app /home/app/.kube
  USER app
  

  运行容器时修改挂载命令：docker run -v $HOME/.kube:/home/app/.kube my-service:latest

2. 启动容器时注入KUBECONFIG环境变量 #

手动在容器内设置的环境变量仅临时生效，需在启动容器时通过参数传入：

docker run -v $HOME/.kube:/root/.kube -e KUBECONFIG=/root/.kube/config my-service:latest

也可以在Dockerfile中提前配置环境变量：

ENV KUBECONFIG=/root/.kube/config

3. 确保MiniKube集群地址可被容器访问 #

本地kubeconfig中的集群地址可能是127.0.0.1，Docker桥接网络无法直接访问。解决方式：

• 执行minikube ip获取集群外部IP，修改kubeconfig中的server字段为https://<minikube-ip>:8443
• 或者使用主机网络运行容器：docker run --network host -v $HOME/.kube:/root/.kube my-service:latest，让容器直接使用宿主机网络栈访问MiniKube

4. 代码中显式指定配置文件路径 #

Fabric8 Client会按优先级加载配置，若自动加载失效，可在代码中直接指定路径：

Config config = Config.fromFile("/root/.kube/config");
KubernetesClient client = new DefaultKubernetesClient(config);

内容的提问来源于stack exchange，提问作者radhakrishna rk rawat