Kubernetes中Tomcat集群fetchMembers打开流失败问题求助

核心问题分析 #

按照Tomcat官方文档配置CloudMembershipService后，Pod出现两个关键错误：

• 403权限拒绝：Tomcat需要调用K8s API获取集群内Pod列表来实现成员发现，但当前Pod的ServiceAccount没有访问api/v1/namespaces/tomcat/pods资源的权限。
• SSL证书不被信任：容器内的JVM或curl工具未加载K8s集群的根CA证书，无法验证API Server的SSL证书有效性。

分步解决方案 #

1. 修复403权限问题 #

给Tomcat Pod绑定的ServiceAccount配置读取Pod资源的RBAC权限：

• 创建Role定义权限：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: tomcat
  name: tomcat-cluster-pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]

• 创建RoleBinding绑定到目标ServiceAccount（假设ServiceAccount名为tomcat-sa，无则先创建）：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: tomcat
  name: tomcat-cluster-rb
subjects:
- kind: ServiceAccount
  name: tomcat-sa
  namespace: tomcat
roleRef:
  kind: Role
  name: tomcat-cluster-pod-reader
  apiGroup: rbac.authorization.k8s.io

• 更新Tomcat Deployment，指定使用该ServiceAccount：
  在Deployment的spec.template.spec中添加：

serviceAccountName: tomcat-sa

2. 修复SSL证书信任问题 #

生产环境推荐方案：导入集群CA证书到JVM信任库

K8s集群CA证书默认挂载在Pod的/var/run/secrets/kubernetes.io/serviceaccount/ca.crt，将其导入Tomcat使用的JDK信任存储：

• 可以在Docker镜像构建时执行（推荐）：

RUN keytool -importcert -file /var/run/secrets/kubernetes.io/serviceaccount/ca.crt -alias k8s-cluster-ca -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit -noprompt

• 或者在Pod启动脚本中添加：

keytool -importcert -file /var/run/secrets/kubernetes.io/serviceaccount/ca.crt -alias k8s-cluster-ca -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit -noprompt

测试环境临时方案：跳过SSL验证

修改server.xml中的CloudMembershipService配置，添加跳过SSL验证参数：

<Membership className="org.apache.catalina.tribes.membership.cloud.CloudMembershipService"
            skipSslValidation="true"/>

3. 验证修复效果 #

• 重启Tomcat Pod，检查日志是否不再出现403和SSL相关错误
• 在Pod内执行验证命令：

curl --cacert /var/run/secrets/kubernetes.io/serviceaccount/ca.crt https://10.96.0.1:443/api/v1/namespaces/tomcat/pods

若返回正常的Pod列表JSON，说明权限和证书问题已解决。

内容的提问来源于stack exchange，提问作者eastwater