Minikube自定义调度器报x509未知授权证书错误求助

错误核心 #

自定义调度器抛出x509: certificate signed by unknown authority错误，本质是调度器无法信任Kube API Server的证书，或自身认证用的证书/CA配置存在问题。

具体排查步骤 #

• 验证kubeconfig文件有效性
  调度器通过hostPath挂载了/etc/kubernetes/scheduler.conf，需确认：

  1. 宿主机上的该文件是否包含正确CA信息：检查certificate-authority-data是否为Minikube CA证书（/var/lib/minikube/certs/ca.crt）的Base64编码结果；若用certificate-authority路径配置，需确认指向的CA文件正确。
  2. 文件内server地址是否与--master参数一致（https://172.2.X.X:8443）。
  3. 容器内可正常读取该文件：进入调度器Pod执行cat /etc/kubernetes/scheduler.conf，确认文件存在且内容完整。

• 清理冗余配置避免冲突
  当前配置同时指定了--kubeconfig、--master和KUBERNETES_MASTER环境变量，三者优先级可能引发冲突：

  1. Kubernetes组件中--kubeconfig优先级高于--master，建议保留--kubeconfig，移除--master参数和KUBERNETES_MASTER环境变量。

• 检查自定义镜像版本兼容性
  确认自定义调度器镜像（localhost:5000/scheduler-plugins/kube-scheduler:latest）的Kubernetes版本与Minikube集群版本匹配：

  1. 不同版本的client-go证书验证逻辑可能存在差异，版本不兼容会导致信任问题。可通过kubectl version查看集群版本，对比镜像内调度器版本（kube-scheduler --version）。

• 验证文件与容器访问权限

  1. 宿主机scheduler.conf权限通常为600，若自定义镜像用非root用户运行，需调整宿主机文件权限（如chmod 644 /etc/kubernetes/scheduler.conf），或在Pod的securityContext中设置runAsUser: 0以root用户启动。
  2. 排查SELinux/AppArmor限制：临时关闭SELinux（setenforce 0）测试是否恢复正常，确认是否是安全策略阻止容器读取hostPath文件。

• 确认API Server证书SAN配置
  虽curl请求显示证书SAN匹配，但可再次验证Minikube生成的API Server证书是否包含集群IP（172.2.X.X）：
  执行openssl x509 -in /var/lib/minikube/certs/apiserver.crt -text -noout，查看Subject Alternative Name字段是否包含该IP地址。

内容的提问来源于stack exchange，提问作者Ab Danyia