使用K8s fake client调用ServiceAccount的CreateToken接口报错

你遇到的failed to create service account token: serviceaccounts "" not found错误，本质是client-go的Fake Clientset默认未正确实现ServiceAccount的CreateToken方法逻辑——它没有正确绑定传入的ServiceAccount名称参数，导致内部查找时使用了空字符串，进而触发找不到资源的错误。

方法一：添加自定义Fake Reactor处理TokenRequest请求 #

在创建Fake Clientset后，手动添加reactor来模拟CreateToken的行为，返回预期的TokenResponse：

import (
    "time"
    "k8s.io/client-go/kubernetes/fake"
    corev1 "k8s.io/api/core/v1"
    authv1 "k8s.io/api/authentication/v1"
    metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
    "k8s.io/apimachinery/pkg/runtime"
    "k8s.io/client-go/testing"
)

// 初始化Fake Clientset
k8sClient := fake.NewClientset()

// 注册处理CreateToken请求的reactor
k8sClient.PrependReactor("create", "serviceaccounts/token", func(action testing.Action) (handled bool, ret runtime.Object, err error) {
    createAction, ok := action.(testing.CreateActionImpl)
    if !ok {
        return false, nil, nil
    }

    // 构造模拟的TokenRequest响应
    tokenResp := &authv1.TokenRequest{
        ObjectMeta: metav1.ObjectMeta{
            Name:      serviceAccountName,
            Namespace: namespace,
        },
        Status: authv1.TokenRequestStatus{
            Token: "mock-valid-token",
            ExpirationTimestamp: &metav1.Time{
                Seconds: time.Now().Add(1 * time.Hour).Unix(),
            },
        },
    }
    return true, tokenResp, nil
})

方法二：前置验证ServiceAccount存在性 #

在调用CreateToken前，先通过Fake Clientset查询已创建的ServiceAccount，确认资源确实存在，排除创建失败的可能性：

sa, err := k8sClient.CoreV1().ServiceAccounts(namespace).Get(ctx, serviceAccountName, metav1.GetOptions{})
if err != nil {
    t.Fatalf("failed to fetch service account: %v", err)
}
// 打印验证信息
t.Logf("confirmed service account exists: %s/%s", sa.Namespace, sa.Name)

补充说明 #

client-go的Fake Clientset仅实现了Kubernetes API的核心基础操作，像CreateToken这类相对新的扩展操作，默认没有提供完整的模拟逻辑，需要手动通过reactor来补充实现。

内容的提问来源于stack exchange，提问作者G13