Jenkins Pipeline结合EKS执行Kubectl命令失败求助

1. 验证IAM权限配置 #

• 检查kubectl Pod使用的ServiceAccount是否通过IRSA绑定了EKS访问权限的IAM角色：

  kubectl describe sa <jenkins-kubectl-sa> -n <jenkins-namespace>
  

  确认Annotations中存在eks.amazonaws.com/role-arn字段，且对应IAM角色包含eks:DescribeCluster、sts:AssumeRoleWithWebIdentity等必要权限。
• 进入kubectl容器，直接验证IAM身份：

  aws sts get-caller-identity
  

  能正常返回身份信息则权限配置有效，报错则排查IRSA绑定流程是否完整。

2. 核对kubeconfig核心内容 #

• 执行kubectl cluster-info，若提示连接拒绝：
  • 对比容器内/.kube/config的server字段与AWS控制台EKS集群详情页的API端点，确保完全一致。
  • 验证certificate-authority-data：将容器内的编码内容解码后，与控制台导出的kubeconfig中CA证书对比，排除复制或转义错误。

3. 测试网络连通性 #

• 在容器内ping EKS API端点：

  ping <eks-api-endpoint>
  

  不通则检查Pod所在节点安全组是否允许出站443端口，同时确认EKS控制平面安全组是否开放Jenkins节点网段的入站443流量。
• 用curl测试API可达性：

  curl -v https://<eks-api-endpoint>
  

  返回401 Unauthorized说明网络通但权限有误，超时则重点排查安全组或子网路由。

4. 确认kubectl版本兼容性 #

• 执行kubectl version --short，确保客户端版本与EKS控制平面版本的差异不超过1个大版本（如集群为1.27，客户端需在1.26-1.28区间内），版本不兼容会导致交互失败。

5. 检查kubeconfig挂载方式 #

• 确认Pipeline中kubeconfig通过Secret挂载，而非直接嵌入代码：

  volumes:
    - secretVolume:
        secretName: jenkins-kubeconfig
        mountPath: /.kube
  

  验证Secret中config字段的base64编码是否正确：

  echo <encoded-config> | base64 -d
  

  解码后应与原始kubeconfig完全一致。

6. 排查Pod日志与事件 #

• 查看kubectl Pod启动日志：

  kubectl logs <kubectl-pod-name> -n <jenkins-namespace>
  

  搜索error、failed关键词，定位具体配置或权限错误。
• 查看Pod事件：

  kubectl describe pod <kubectl-pod-name> -n <jenkins-namespace>
  

  确认卷挂载是否成功、是否存在IAM角色绑定失败的异常事件。

内容的提问来源于stack exchange，提问作者Omar Mohamed