K8s创建Secret报错求助：连接拒绝、证书验证及权限问题

问题场景 #

刚完成K8s集群搭建，执行以下命令创建Docker认证Secret：

sudo kubectl create secret generic regcred --from-file=.dockerconfigjson=/root/.docker/config.json --type=kubernetes.io/dockerconfigjson 

报错流程 #

• 第一次报错：连接本地8080端口失败

error: failed to create secret Post "localhost:8080/api/v1/namespaces/default/…": dial tcp [::1]:8080: connect: connection refused

• 添加--server=https://192.168.1.2:6443后：证书验证失败

error: failed to create secret Post "https://192.168.1.2:6443/api/v1/namespaces/default/secrets?fieldManager=kubectl-create&fieldValidation=Strict": tls: failed to verify certificate: x509: certificate signed by unknown authority

• 再添加--insecure-skip-tls-verify后：权限不足

error: failed to create secret secrets is forbidden: User "system:anonymous" cannot create resource "secrets" in API group "" in the namespace "default"

相关配置文件 #

kubeconfig配置内容 #

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: DATA+OMITTED
    server: https://192.168.1.2:6443
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    user: kubernetes-admin
  name: kubernetes-admin@kubernetes
current-context: kubernetes-admin@kubernetes
kind: Config
preferences: {}
users:
- name: kubernetes-admin
  user:
    client-certificate-data: DATA+OMITTED
    client-key-data: DATA+OMITTED

/root/.docker/config.json内容 #

{
        "auths": {
                "harbor-regitry.fr": {
                        "auth": "eW91c31c2VmQSQxMjM="
                }
        }
}

问题原因与解决方法 #

原因分析 #

1. 初始连接失败：kubectl默认尝试连接本地8080端口的非安全API服务，但集群实际启用的是6443端口的安全API端点。
2. 证书验证失败：手动指定--server后，kubectl未加载kubeconfig中的CA证书来验证集群服务端证书，导致证书信任问题。
3. 权限不足：添加--insecure-skip-tls-verify后，kubectl未使用kubeconfig中配置的kubernetes-admin管理员凭证，以匿名用户身份发起请求，被API Server拒绝。

解决步骤 #

1. 确保kubeconfig正确加载

   • 普通用户执行命令时，确认~/.kube/config存在且配置正确；若使用sudo，需确保root用户的~/.kube/config与普通用户的配置一致，可执行：

     sudo cp /home/test/.kube/config /root/.kube/config
     

   • 若kubeconfig在非默认路径，执行命令时通过--kubeconfig参数指定：

     kubectl --kubeconfig=/path/to/your/config create secret generic regcred --from-file=.dockerconfigjson=/root/.docker/config.json --type=kubernetes.io/dockerconfigjson
     

2. 验证并切换kubectl上下文
   确认当前使用的是管理员上下文：

   kubectl config current-context
   

   若输出不是kubernetes-admin@kubernetes，执行切换命令：

   kubectl config use-context kubernetes-admin@kubernetes
   

3. 执行正确的Secret创建命令
   无需手动指定--server和--insecure-skip-tls-verify，直接执行：

   kubectl create secret generic regcred --from-file=.dockerconfigjson=/root/.docker/config.json --type=kubernetes.io/dockerconfigjson
   

   若必须使用sudo，确保root用户已加载正确的kubeconfig后执行：

   sudo kubectl create secret generic regcred --from-file=.dockerconfigjson=/root/.docker/config.json --type=kubernetes.io/dockerconfigjson
   

4. 验证Secret创建结果
   执行以下命令确认Secret已成功创建：

   kubectl get secret regcred
   

内容的提问来源于stack exchange，提问作者Java user