Kubernetes工作节点无法执行kubectl命令的原因咨询

问题场景 #

我运行一个3节点Kubernetes集群，master节点可正常执行kubectl命令，比如执行kubectl get nodes输出如下：

vagrant@kubemaster:~$ kubectl get nodes
NAME         STATUS   ROLES           AGE   VERSION
kubemaster   Ready    control-plane   45h   v1.28.0
kubenode01   Ready    <none>          45h   v1.28.0
kubenode02   Ready    <none>          45h   v1.28.0

但在worker节点（如kubenode01）执行kubectl get nodes时出现连接拒绝错误：

vagrant@kubenode01:~$ kubectl get nodes
E0821 14:15:26.901943    3604 memcache.go:265] couldn't get current server API group list: Get "http://localhost:8080/api?timeout=32s": dial tcp [::1]:8080: connect: connection refused
E0821 14:15:26.903398    3604 memcache.go:265] couldn't get current server API group list: Get "http://localhost:8080/api?timeout=32s": dial tcp [::1]:8080: connect: connection refused
E0821 14:15:26.904235    3604 memcache.go:265] couldn't get current server API group list: Get "http://localhost:8080/api?timeout=32s": dial tcp [::1]:8080: connect: connection refused
E0821 14:15:26.906582    3604 memcache.go:265] couldn't get current server API group list: Get "http://localhost:8080/api?timeout=32s": dial tcp [::1]:8080: connect: connection refused
E0821 14:15:26.908914    3604 memcache.go:265] couldn't get current server API group list: Get "http://localhost:8080/api?timeout=32s": dial tcp [::1]:8080: connect: connection refused
The connection to the server localhost:8080 was refused - did you specify the right host or port?
vagrant@kubenode01:~$ 

1. 是否故意不允许在worker节点执行集群管理命令？ #

不是故意限制，这只是默认配置导致的结果。Worker节点默认没有配置kubectl连接Kubernetes APIServer所需的凭证文件，而且APIServer本身默认只运行在control-plane（master）节点上，worker节点本地并没有监听8080端口的APIServer服务，所以会出现连接拒绝的错误。

2. 是否所有集群管理命令都必须在master节点触发？ #

完全不是。只要满足两个条件，任何能网络访问到APIServer的机器（包括worker节点、本地开发机、其他服务器）都能执行集群管理命令：

• 安装了kubectl工具；
• 拥有正确的kubeconfig配置文件（包含APIServer地址、认证凭证等信息），且该凭证对应的账号有足够的权限执行目标命令。

3. 这种默认行为的原因是什么？ #

主要从安全、架构设计和资源优化三个角度考虑：

• 安全层面：Worker节点通常承担容器运行的工作，可能暴露在更易被攻击的环境中。不在worker节点默认存放集群管理凭证，能减少凭证泄露的风险，避免攻击者通过攻陷worker节点直接获取集群控制权。
• 架构设计：Kubernetes的控制平面组件（APIServer、etcd、Controller Manager等）默认集中部署在control-plane节点，worker节点仅运行kubelet、kube-proxy和容器运行时，不需要也不默认配置kubectl的访问环境，符合“单一职责”的架构原则。
• 资源优化：避免在所有worker节点上重复安装kubectl、配置凭证，减少不必要的资源消耗和集群维护复杂度。

快速解决：让Worker节点能执行kubectl命令 #

如果需要在worker节点使用kubectl，只需将master节点上的~/.kube/config文件复制到worker节点的相同路径，并设置正确的权限：

# 在master节点执行，将config文件复制到worker节点
scp ~/.kube/config vagrant@kubenode01:~/.kube/

# 在worker节点执行，修改文件权限（必须是600，否则kubectl会报错）
chmod 600 ~/.kube/config

之后在worker节点再次执行kubectl get nodes，就能正常获取集群节点信息了。

内容的提问来源于stack exchange，提问作者Thinker