创建Kubernetes Secret时遇x509证书未知签发机构错误求助

执行以下命令创建Docker registry Secret时遇到TLS证书验证错误：

sudo kubectl create secret generic regcred --from-file=.dockerconfigjson=/root/.docker/config.json --type=kubernetes.io/dockerconfigjson --server=https://192.168.1.2:6443

错误信息：

error: failed to create secret Post "https://192.168.1.2:6443/api/v1/namespaces/default/secrets?fieldManager=kubectl-create&fieldValidation=Strict": tls: failed to verify certificate: x509: certificate signed by unknown authority

当前kubeconfig配置：

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: DATA+OMITTED
    server: https://192.168.1.2:6443
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    user: kubernetes-admin
  name: kubernetes-admin@kubernetes
current-context: kubernetes-admin@kubernetes
kind: Config
preferences: {}
users:
- name: kubernetes-admin
  user:
    client-certificate-data: DATA+OMITTED
    client-key-data: DATA+OMITTED

以下是几种可行的解决方法，按优先级推荐：

方法1：修复kubeconfig中的CA证书 #

kubeconfig里的certificate-authority-data是集群CA证书的base64编码值，可能存在过期或不正确的情况：

• 从集群控制节点获取正确的CA证书文件（通常路径为/etc/kubernetes/pki/ca.crt）
• 将证书编码为base64：cat /etc/kubernetes/pki/ca.crt | base64 -w 0
• 更新kubeconfig中对应集群的certificate-authority-data字段为新编码值，之后重新执行创建Secret的命令

方法2：临时跳过证书验证（仅测试环境用） #

如果是测试集群，可临时关闭kubectl的证书验证：

sudo kubectl create secret generic regcred --from-file=.dockerconfigjson=/root/.docker/config.json --type=kubernetes.io/dockerconfigjson --server=https://192.168.1.2:6443 --insecure-skip-tls-verify

注意：此方法会大幅降低安全性，生产环境绝对禁止使用。

方法3：将集群CA证书加入本地信任列表 #

把集群CA证书添加到系统信任根证书中：

• 复制集群CA证书（/etc/kubernetes/pki/ca.crt）到本地机器的/usr/local/share/ca-certificates/目录
• 更新系统信任列表：sudo update-ca-certificates
• 重新执行kubectl命令

方法4：验证kubeconfig上下文与用户凭证 #

确认当前使用的kubeconfig上下文正确，且用户的客户端证书/密钥未损坏：

• 查看当前上下文：kubectl config current-context
• 查看精简后的kubeconfig配置：kubectl config view --minify --raw，检查客户端证书和密钥是否有效、未过期

内容的提问来源于stack exchange，提问作者Java user