GKE私有Autopilot集群无法查看Pod日志及执行exec命令求助

针对你在私有Autopilot集群中执行kubectl logs/kubectl exec时出现的i/o timeout错误，以下是具体排查和解决步骤：

1. 检查跳板机与集群节点的网络连通性 #

错误提示的10.250.82.36:10250是集群节点的kubelet端口，先确认跳板机能否访问该端口：

nc -zv 10.250.82.36 10250

如果不通，需排查：

• 跳板机是否与集群在同一VPC，或VPC间已配置对等连接
• 集群子网的出站防火墙规则是否允许访问节点的10250端口
• 跳板机所在子网的入站/出站规则是否限制了该端口流量

2. 验证ServiceAccount权限配置 #

尽管之前用ServiceAccount解决过类似问题，需确保当前使用的账号拥有足够权限：

• 绑定view ClusterRole（该角色包含Pod日志、exec操作所需权限）：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: pod-access-binding
subjects:
- kind: ServiceAccount
  name: <你的服务账号名>
  namespace: qa1
roleRef:
  kind: ClusterRole
  name: view
  apiGroup: rbac.authorization.k8s.io

• 切换到该ServiceAccount的上下文后重试：

kubectl config use-context <关联服务账号的上下文>

3. 排查集群网络策略与GCP防火墙规则 #

• NetworkPolicy检查：确认qa1命名空间下没有阻止API Server访问Pod/节点的规则，可临时删除可疑规则测试
• GCP防火墙规则：检查集群自动创建的gke-<集群名>-kubelet规则是否存在，该规则默认允许API Server访问节点10250端口；若规则被修改，需恢复或添加自定义规则允许对应IP范围访问该端口

4. 重新调度Pod验证节点健康 #

Autopilot节点由GCP托管，偶尔会出现节点网络异常：

• 删除问题Pod让集群重新调度：

kubectl delete pod -n qa1 app1-5dd86f95dc-dmgjj

• 调度完成后再次尝试logs/exec操作

5. 检查kubeconfig的代理配置 #

如果跳板机通过代理访问API Server，需确保代理配置允许访问节点内部IP的10250端口，避免代理拦截请求导致超时

内容的提问来源于stack exchange，提问作者Vinay