AWS EKS kubectl认证失败求助：本地无法访问集群但CloudShell正常

问题场景 #

使用eksctl创建AWS EKS集群后，本地kubectl访问持续报错：

E1017 14:53:35.073272   19400 memcache.go:265] couldn't get current server API group list: the server has asked for the client to provide credentials
E1017 14:53:37.144898   19400 memcache.go:265] couldn't get current server API group list: the server has asked for the client to provide credentials
E1017 14:53:39.207462   19400 memcache.go:265] couldn't get current server API group list: the server has asked for the client to provide credentials
E1017 14:53:41.371698   19400 memcache.go:265] couldn't get current server API group list: the server has asked for the client to provide credentials
E1017 14:53:43.469213   19400 memcache.go:265] couldn't get current server API group list: the server has asked for the client to provide credentials
error: You must be logged in to the server (the server has asked for the client to provide credentials)

已确认的上下文与操作：

• 使用附加AdministratorAccess策略的IAM admin用户
• 已执行aws eks update-kubeconfig --name <cluster-name> --region <region> --profile <profile-name>更新kubeconfig
• 本地执行aws sts get-caller-identity确认用户配置正确
• 相同admin用户在CloudShell中可正常执行kubectl get nodes

核心解决方案：配置EKS集群授权 #

EKS集群的访问权限由aws-auth ConfigMap独立控制，即使IAM用户拥有AWS全局管理员权限，也需要在该ConfigMap中完成配置才能访问集群。

修改aws-auth ConfigMap授权步骤 #

1. 在CloudShell导出当前ConfigMap
   利用CloudShell的正常访问权限，导出现有配置：

   kubectl get configmap aws-auth -n kube-system -o yaml > aws-auth.yaml
   

2. 编辑配置添加IAM用户
   打开aws-auth.yaml，在mapUsers字段下添加你的admin用户信息：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: aws-auth
     namespace: kube-system
   data:
     mapRoles: |
       # 保留原有角色配置，不要删除
     mapUsers: |
       - userarn: arn:aws:iam::<你的AWS账号ID>:user/<admin用户名>
         username: admin
         groups:
           - system:masters
   

   说明：

   • userarn可通过aws iam get-user --user-name <admin用户名>获取
   • system:masters组会赋予用户集群管理员级别的权限

3. 应用更新后的配置
   执行命令将修改同步到集群：

   kubectl apply -f aws-auth.yaml
   

4. 本地验证权限
   重新执行kubectl get nodes，即可正常返回节点信息。

其他排查点 #

• 本地AWS CLI配置校验
  确认本地profile关联的是目标admin用户：

  aws configure list --profile <profile-name>
  

  检查输出的user字段是否为admin用户ARN，且region与集群一致。

• kubeconfig有效性检查
  打开C:\Users\x\.kube\config，确认用户配置段包含正确的认证参数：

  users:
  - name: arn:aws:eks:<region>:<账号ID>:cluster/<集群名>
    user:
      exec:
        apiVersion: client.authentication.k8s.io/v1beta1
        args:
        - --region
        - <region>
        - eks
        - get-token
        - --cluster-name
        - <集群名>
        - --profile
        - <profile-name>
        command: aws
  

  若缺失--profile参数，手动添加后保存。

• kubectl版本兼容性
  确保本地kubectl版本与EKS集群版本差距不超过1个大版本（如集群为1.27，kubectl可使用1.26-1.28）：

  kubectl version --short
  

内容的提问来源于stack exchange，提问作者ProxilityProblemSolver