Kubernetes Job执行报错：You must be logged in to the server (Unauthorized)

针对你遇到的Job执行kubectl返回error: You must be logged in to the server (Unauthorized)，但本地手动执行正常、RBAC权限已配置的问题，可按以下步骤排查：

1. 确认Pod是否正确挂载ServiceAccount令牌 #

Kubernetes会自动为关联ServiceAccount的Pod挂载包含令牌的卷，执行以下命令检查Pod的卷配置：

kubectl describe pod <你的Job生成的Pod名称>

查看输出的Volumes和VolumeMounts部分，确认存在名为kube-api-access-xxx的卷，且已挂载到/var/run/secrets/kubernetes.io/serviceaccount/路径。如果没有该卷，检查Job的PodSpec中是否设置了automountServiceAccountToken: false，若有则删除该配置（默认值为true）。

2. 验证ServiceAccount令牌的有效性 #

步骤1：获取ServiceAccount关联的Secret名称 #

kubectl get sa deployment-reader -o jsonpath='{.secrets[0].name}'

步骤2：提取并解码令牌 #

kubectl get secret <上一步得到的Secret名称> -o jsonpath='{.data.token}' | base64 -d

步骤3：用令牌测试API访问 #

Docker Desktop环境下可直接使用集群内部API地址：

curl -k -H "Authorization: Bearer <解码后的令牌>" https://kubernetes.default.svc/apis/apps/v1/namespaces/default/deployments/test-deployment

如果返回401，说明令牌无效，可尝试删除并重新创建ServiceAccount及RBAC资源：

kubectl delete sa deployment-reader
kubectl delete role deployment-reader
kubectl delete rolebinding read-deployments
kubectl apply -f ServiceAccount.yaml
kubectl apply -f Role.yaml
kubectl apply -f RoleBinding.yaml

3. 显式指定kubectl命令的命名空间 #

手动执行时可能依赖本地kubectl上下文的默认命名空间，但Job容器内的上下文可能未正确设置。修改Job的args，显式添加-n default参数：

args: ["kubectl get deployment test-deployment -n default -o jsonpath='{.metadata.annotations.test_checksum}' > /output/annotation.txt"]

4. 排查Docker Desktop Kubernetes环境问题 #

Docker Desktop的K8s偶尔会出现ServiceAccount挂载异常的情况，可尝试：

• 进入Pod内部检查serviceaccount目录内容：

  kubectl exec -it <JobPod名称> -- ls /var/run/secrets/kubernetes.io/serviceaccount/
  

  正常应包含ca.crt、namespace、token三个文件，若缺失则重启Docker Desktop并重新部署Job。

内容的提问来源于stack exchange，提问作者Devaddy