使用curl访问Kubernetes API时出现401未授权错误

核心问题：curl使用的认证凭据与kubectl不一致 #

kubectl能正常操作集群，说明K8s的认证体系本身没问题，问题出在你curl命令里指定的证书/密钥不是kubectl实际依赖的有效凭据。

快速排查&解决步骤： #

• 确认kubectl的证书路径
  查看默认kubeconfig文件（路径~/.kube/config），找到users节点下的client-certificate和client-key对应的本地文件路径；如果是base64编码的client-certificate-data/client-key-data，可以解码后临时存为文件使用。
  示例kubeconfig片段：

  users:
  - name: kubernetes-admin
    user:
      client-certificate: /etc/kubernetes/admin.crt
      client-key: /etc/kubernetes/admin.key
  

  这里的路径就是curl应该使用的正确凭据路径。

• 直接复用kubectl的认证参数发起请求
  更省心的方式是让kubectl帮你生成正确的curl命令：
  执行kubectl get --raw / -v=6，在输出日志里找到完整的curl请求参数，比如类似这样：

  curl -v -XGET  -H "Accept: application/json, */*" -H "User-Agent: kubectl/v1.28.0 (linux/amd64) kubernetes/abc123" 'https://192.168.1.100:6443/' --cert /etc/kubernetes/admin.crt --key /etc/kubernetes/admin.key --cacert /etc/kubernetes/ca.crt
  

  直接复制这个命令执行，就能得到包含paths字段的预期响应。

• 验证证书对应用户的权限（前两步无效时）
  检查你使用的证书对应的用户是否有权限访问API根路径：
  执行kubectl auth can-i get / --as=你的证书用户名，如果返回yes，说明权限没问题，还是凭据路径错误；如果返回no，需要给该用户绑定cluster-admin或对应权限的角色。

内容的提问来源于stack exchange，提问作者randomadmin789