K8s 1.24.13：扩展API Server使用kubeconfig客户端证书授权失效

排查步骤 #

1. 核对kubeconfig上下文与用户配置 #

• 检查kubeconfig的current-context对应的context条目，确认其user字段指向的是包含client-certificate-data和client-key-data的用户配置，而非服务账号相关的用户条目。很多时候自动生成的kubeconfig会默认使用服务账号token作为认证方式，需手动切换到证书认证的用户上下文。
• 执行命令快速验证：

  # 查看当前上下文关联的用户
  kubectl config view --minify -o jsonpath='{.contexts[?(@.name == "'$(kubectl config current-context)'")].context.user}'
  # 查看该用户的认证配置
  kubectl config view -o jsonpath='{.users[?(@.name == "<上述输出的用户名>")].user}'
  

  确保输出中包含client-certificate-data和client-key-data，而非token字段。

2. 验证扩展API Server的CA信任配置 #

• 确认扩展API Server启动参数--client-ca-file指定的CA证书，与kubeconfig中certificate-authority-data解码后的CA证书完全一致。若CA不匹配，客户端证书会被拒绝，请求可能 fallback 到服务账号认证（集群内容器默认挂载服务账号token）。
• 查看扩展API Server日志，搜索x509相关错误，比如certificate signed by unknown authority，这类日志直接说明证书信任链存在问题。

3. 调整认证插件执行顺序 #

• Kubernetes认证插件按配置顺序执行，若ServiceAccount认证优先级高于x509认证，请求中携带的服务账号token（集群内默认挂载）会优先被使用，覆盖kubeconfig的客户端证书。
• 检查扩展API Server的认证配置，确保x509认证插件排在ServiceAccount之前。若使用认证webhook，需在webhook配置中调整优先级；若直接指定认证插件，启动参数中--client-ca-file应优先于--authentication-token-webhook-config-file加载。

4. 排除服务账号token的干扰 #

• 集群外测试：用curl手动携带证书发起请求，绕开kubeconfig的自动处理，验证证书本身是否有效：

  # 解码kubeconfig中的证书数据到文件
  echo "<client-certificate-data内容>" | base64 -d > client.crt
  echo "<client-key-data内容>" | base64 -d > client.key
  echo "<certificate-authority-data内容>" | base64 -d > ca.crt
  # 发起请求
  curl --cert client.crt --key client.key --cacert ca.crt https://<扩展API Server地址>/api/v1/namespaces
  

  若返回正常，说明kubeconfig配置有误；若仍返回服务账号权限错误，说明扩展API Server的认证逻辑存在问题。
• 集群内测试：临时删除容器内默认挂载的服务账号token，再用kubeconfig请求：

  rm /var/run/secrets/kubernetes.io/serviceaccount/token
  kubectl get namespaces --kubeconfig=<你的kubeconfig文件>
  

  若此时能正常使用证书CN对应的身份，说明服务账号token的自动注入覆盖了kubeconfig的证书认证。

5. 确认证书数据完整性 #

• 解码客户端证书并检查CN字段：

  echo "<client-certificate-data内容>" | base64 -d > client.crt
  openssl x509 -text -noout -in client.crt | grep "Subject:"
  

  确认CN与RBAC规则中配置的用户主体一致，同时检查证书是否过期、SAN字段是否符合扩展API Server的要求。
• 验证证书与私钥匹配：

  openssl x509 -noout -modulus -in client.crt | openssl md5
  openssl rsa -noout -modulus -in client.key | openssl md5
  

  两次输出的MD5值必须完全相同，否则证书与私钥不匹配，会导致认证失败 fallback 到服务账号。

内容的提问来源于stack exchange，提问作者SDee