如何在无kubeconfig文件时为C# Kubernetes客户端启用TLS验证

问题场景 #

用C#编写代码连接K8s集群并列出命名空间时，仅当设置SkipTlsVerify = true时能正常运行；将其设为false会报错：

Unhandled exception: k8s.Exceptions.KubeConfigException: A CA must be set when SkipTlsVerify === false

要求不跳过TLS验证，且不能通过BuildConfigFromConfigFile()读取配置文件，只能使用本地变量传递配置信息。

解决方案：直接配置CA证书数据 #

无需通过BuildConfigFromConfigObject绕弯，直接在KubernetesClientConfiguration实例中设置必要的CA证书数据即可。核心是添加CertificateAuthorityData属性，该值从kubeconfig文件的certificate-authority-data字段复制（Base64格式字符串）。

正确代码示例

var contextName = "mycontext"; // 从kubeconfig复制的context名称
var server = "https://your-k8s-api-server-url"; // 从kubeconfig的server字段复制
var accessToken = "your-access-token"; // 认证用的Token
var certificateAuthorityData = "复制kubeconfig中certificate-authority-data的Base64内容";

// 如果使用客户端证书认证，再添加以下两个变量
var clientCertificateData = "复制kubeconfig中client-certificate-data的Base64内容";
var clientKeyData = "复制kubeconfig中client-key-data的Base64内容";

var config = new KubernetesClientConfiguration()
{
    Host = server,
    AccessToken = accessToken,
    SkipTlsVerify = false, // 关闭跳过验证
    CertificateAuthorityData = certificateAuthorityData, // 关键：添加CA证书数据
    // 若使用客户端证书认证，取消注释以下两行
    // ClientCertificateData = clientCertificateData,
    // ClientCertificateKeyData = clientKeyData
};

var client = new Kubernetes(config);
var namespaces = client.CoreV1.ListNamespace();
foreach (var ns in namespaces.Items)
{
    Console.WriteLine(ns.Metadata.Name);
}

关键说明 #

• CertificateAuthorityData：必须设置该字段，它是K8s集群CA证书的Base64编码字符串，用于客户端验证API服务器的证书合法性。
• 客户端证书（可选）：如果你的集群使用客户端证书认证而非Token，才需要设置ClientCertificateData和ClientCertificateKeyData，否则仅保留Token和CA数据即可。
• 避免冗余配置：BuildConfigFromConfigObject适合复杂多集群场景，单集群直接实例化KubernetesClientConfiguration更简洁，也能避免配置传递过程中的遗漏问题。

内容的提问来源于stack exchange，提问作者Nick Bonilla