GitLab流水线偶发Kubernetes集群认证失败问题求助

• K8s服务账号令牌过期/刷新窗口冲突：GitLab Runner使用的K8s服务账号令牌存在有效期，当流水线执行时令牌刚好处于过期刷新的临界窗口，就会触发认证失败。重试时新令牌已生成，因此能正常执行。可以检查服务账号令牌的自动刷新配置，或调整令牌有效期（若集群允许）。
• Runner与K8s APIServer间网络波动：Runner和K8s集群控制平面之间的网络偶尔出现丢包、延迟过高，导致认证请求超时或响应异常。重试时网络恢复稳定，认证即可成功。可排查APIServer日志中的连接超时记录，或测试Runner到APIServer的网络连通性稳定性。
• K8s APIServer限流或过载：当APIServer负载过高时，会触发限流机制拒绝部分认证请求，表现为偶发的认证失败。可通过查看kube-apiserver_request_total指标，统计是否有大量401/403状态码的请求，同时检查集群控制平面节点的CPU、内存使用率。
• GitLab Runner凭据缓存异常：Runner可能缓存了旧的K8s认证信息，偶尔未及时更新至最新凭据。尝试重启GitLab Runner实例，或配置Runner禁用凭据缓存（若有对应配置项）。
• 集群认证组件临时故障：K8s负责令牌验证的TokenReview组件偶尔出现临时故障，会导致认证请求失败。检查kube-system命名空间下kube-apiserver、kube-controller-manager等核心组件的日志，排查是否有TokenReview相关的错误记录。

内容的提问来源于stack exchange，提问作者Alex