Jenkins Pipeline使用Kubernetes Token执行kubectl时认证失败求助

排查步骤与解决方案 #

1. 强制指定K8s API Server地址 #

出现跳转登录页的错误，大概率是kubectl默认读取了Jenkins Agent上的kubeconfig文件，而该文件指向的是需要网页验证的入口（比如Dashboard代理地址）。解决时需显式指定API Server的真实地址：

stage('Deploy To Kubernetes') {
    steps {
        withCredentials([string(credentialsId: 'kubernetes-secret', variable: 'K8S_TOKEN')]) {
            sh """
                kubectl --server=https://你的K8sAPI地址:6443 --token=$K8S_TOKEN get pods
            """
        }
    }
}

也可以临时禁用默认kubeconfig，避免干扰：

export KUBECONFIG=/dev/null
kubectl --server=https://你的K8sAPI地址:6443 --token=$K8S_TOKEN get pods

2. 验证Token的有效性与权限 #

• 测试Token可用性：在集群节点或本地执行以下命令，确认token本身是否能正常访问API：

kubectl --server=https://你的K8sAPI地址:6443 --token=你的token值 get pods

• 检查Token有效期：kubectl create token default生成的token默认仅1小时有效期，过期会导致认证失败。可以改用ServiceAccount的持久化token：

# 获取default服务账户的token secret
kubectl get secrets -n default
# 替换下方secret名称，提取token
kubectl get secret default-token-xxxx -n default -o jsonpath='{.data.token}' | base64 -d

• 补充权限：默认default服务账户权限极低，需绑定角色以获取pod访问权限：

kubectl create clusterrolebinding default-view --clusterrole=view --serviceaccount=default:default

3. 检查网络连通性 #

确保Jenkins Agent所在机器能访问K8s API Server的6443端口，无防火墙或网络策略拦截。用curl测试：

curl -k https://你的K8sAPI地址:6443/api/v1/pods -H "Authorization: Bearer $K8S_TOKEN"

若返回正常JSON数据，说明网络和token无问题，问题出在kubectl配置上。

内容的提问来源于stack exchange，提问作者Surya Bhusal