Kubernetes API调用listNamespacedPod出现连接超时问题求助

你在集群内Pod中运行Java代码调用K8s API时出现SocketTimeoutException: connect timed out，试过Config.defaultClient()和Config.fromCluster()都无效，可从以下几方面排查解决：

1. 验证ServiceAccount权限 #

集群内Pod访问K8s API必须通过关联的ServiceAccount获取权限，要确保你的Pod绑定了能读取myNS命名空间下Pod的角色：

# 定义Role，允许读取myNS下的Pod
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: myNS
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]

# 绑定Role到ServiceAccount（假设你的Pod用default ServiceAccount，可替换为实际的）
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: myNS
  name: read-pods
subjects:
- kind: ServiceAccount
  name: default
  namespace: myNS
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

应用以上配置后，重启Pod让权限生效。

2. 测试API Server的可达性 #

在Pod内部执行以下命令，确认能连通K8s API Server：

curl -k https://kubernetes.default.svc:443/api/v1/namespaces/myNS/pods

如果这个命令也超时，说明是网络层面的问题：

• 检查是否有NetworkPolicy阻止了Pod到kubernetes.default.svc的443端口流量
• 确认集群DNS正常，能解析kubernetes.default.svc到API Server的ClusterIP

3. 手动配置客户端集群内访问参数 #

有时候自动配置可能失效，手动指定ServiceAccount的token和CA证书路径来初始化ApiClient：

import io.kubernetes.client.openapi.ApiClient;
import io.kubernetes.client.openapi.Configuration;
import io.kubernetes.client.openapi.apis.CoreV1Api;
import io.kubernetes.client.openapi.models.V1PodList;
import io.kubernetes.client.util.ClientBuilder;

import java.nio.file.Files;
import java.nio.file.Paths;

public class PodListExample {
    public static void main(String[] args) throws Exception {
        // 集群内ServiceAccount的配置路径
        String tokenPath = "/var/run/secrets/kubernetes.io/serviceaccount/token";
        String caPath = "/var/run/secrets/kubernetes.io/serviceaccount/ca.crt";
        String apiServerUrl = "https://kubernetes.default.svc:443";

        ApiClient client = ClientBuilder.cluster()
                .setApiServerUrl(apiServerUrl)
                .setCaCertFile(caPath)
                .setBearerToken(new String(Files.readAllBytes(Paths.get(tokenPath))))
                .build();

        Configuration.setDefaultApiClient(client);
        CoreV1Api api = new CoreV1Api();

        V1PodList list = api.listNamespacedPod("myNS", null, null, null, null, null, null, null, 60, false);
        for (var item : list.getItems()) {
            System.out.printf("Pod名称: %s, IP: %s%n", item.getMetadata().getName(), item.getStatus().getPodIP());
        }
    }
}

这段代码显式指定了API Server地址、CA证书和token路径，避免自动配置的潜在问题。

4. 调整超时参数 #

原代码中设置的超时时间是30秒，若集群网络延迟较高，可适当调大超时值（比如改成60秒），同时也可以为ApiClient设置全局超时：

client.setConnectTimeout(60000); // 连接超时60秒
client.setReadTimeout(60000);    // 读取超时60秒

内容的提问来源于stack exchange，提问作者orion_kid