如何通过Kubernetes的client-go从Master节点在Worker节点直接执行命令？

你要的是绕过Pod/Job、直接在Worker节点主机层面执行命令的能力，下面是两个靠谱的实现方案：

1. 利用client-go调用Node Exec接口 #

kubectl debug node/<node-name>这类命令的底层就是Node Exec能力，它允许直接在节点主机上执行命令，而非容器内部。client-go可以完整封装这个逻辑：

核心前提 #

• 确保客户端拥有足够RBAC权限，需要配置包含nodes/get和nodes/exec权限的ClusterRole：

  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRole
  metadata:
    name: node-exec-role
  rules:
  - apiGroups: [""]
    resources: ["nodes"]
    verbs: ["get"]
  - apiGroups: [""]
    resources: ["nodes/exec"]
    verbs: ["create"]
  

• 加载kubeconfig（集群内运行则用in-cluster config），初始化client-go客户端。

代码示例 #

package main

import (
	"context"
	"os"

	corev1 "k8s.io/api/core/v1"
	"k8s.io/client-go/kubernetes"
	"k8s.io/client-go/kubernetes/scheme"
	"k8s.io/client-go/rest"
	"k8s.io/client-go/tools/clientcmd"
	"k8s.io/client-go/tools/remotecommand"
)

func main() {
	// 加载kubeconfig（集群内运行可替换为rest.InClusterConfig()）
	kubeconfigPath := os.Getenv("KUBECONFIG")
	config, err := clientcmd.BuildConfigFromFlags("", kubeconfigPath)
	if err != nil {
		panic(err)
	}

	clientset, err := kubernetes.NewForConfig(config)
	if err != nil {
		panic(err)
	}

	targetNode := "worker-node-01"
	// 构造节点执行请求
	req := clientset.CoreV1().RESTClient().Post().
		Resource("nodes").
		Name(targetNode).
		SubResource("exec").
		VersionedParams(&corev1.PodExecOptions{
			Command: []string{"bash", "-c", "yum install -y chrony && systemctl enable --now chronyd"}, // 你的节点配置命令
			Stdin:   true,
			Stdout:  true,
			Stderr:  true,
			TTY:     true,
		}, scheme.ParameterCodec)

	// 创建执行器并绑定输入输出流
	exec, err := remotecommand.NewSPDYExecutor(config, "POST", req.URL())
	if err != nil {
		panic(err)
	}

	err = exec.Stream(remotecommand.StreamOptions{
		Stdin:  os.Stdin,
		Stdout: os.Stdout,
		Stderr: os.Stderr,
		Tty:    true,
	})
	if err != nil {
		panic(err)
	}
}

2. 直接调用kubelet的本地API #

每个Worker节点的kubelet默认在10250端口暴露/exec接口，可直接向该接口发送请求执行主机命令。这种方式无需经过APIServer，但要处理kubelet的证书认证：

核心逻辑 #

• 获取节点kubelet的CA证书（通常在节点/var/lib/kubelet/pki/kubelet.crt路径），或在测试环境临时禁用证书验证（生产环境绝对不推荐）。
• 构造POST请求到https://<node-ip>:10250/exec，通过URL参数指定要执行的命令和流配置。

简化代码片段 #

package main

import (
	"net/http"
	"net/url"
	"os"
)

func main() {
	nodeIP := "192.168.1.100"
	// 构造kubelet exec请求
	reqURL, _ := url.Parse("https://" + nodeIP + ":10250/exec")
	q := reqURL.Query()
	q.Add("command", "bash")
	q.Add("command", "-c")
	q.Add("command", "echo 'node config done' >> /var/log/node-config.log")
	q.Add("stdout", "true")
	q.Add("stderr", "true")
	reqURL.RawQuery = q.Encode()

	req, _ := http.NewRequest("POST", reqURL.String(), nil)
	// 这里需添加kubelet证书认证逻辑，比如设置TLSClientConfig
	client := &http.Client{}
	resp, err := client.Do(req)
	if err != nil {
		panic(err)
	}
	defer resp.Body.Close()
	// 读取命令输出
	_, _ = io.Copy(os.Stdout, resp.Body)
}

关键注意事项 #

• 权限管控：生产环境要严格限制nodes/exec权限的授予范围，避免滥用导致节点被入侵。
• 安全风险：直接在节点执行命令风险极高，务必确保命令经过严格校验，避免执行未授权操作。
• 结果校验：批量执行时要捕获命令的退出码和输出，确保配置操作按预期完成。

内容的提问来源于stack exchange，提问作者Habiba