如何在部署于Kubernetes的Jenkins中通过Kubernetes插件运行kubectl

可能的错误原因及修复步骤 #

1. 检查 jenkins-admin ServiceAccount 的 RBAC 权限 #

kubectl 执行失败最常见的原因是权限不足。你需要确保 jenkins-admin ServiceAccount 拥有创建 Docker Registry Secret 的权限：

• 创建一个允许操作 Secret 的 ClusterRole（若仅需命名空间级权限可改用 Role）：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: jenkins-secret-manager
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["create", "get", "list", "update", "delete"]

• 将该 ClusterRole 绑定到 jenkins-admin ServiceAccount：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: jenkins-secret-binding
subjects:
- kind: ServiceAccount
  name: jenkins-admin
  namespace: <你的Jenkins所在命名空间>
roleRef:
  kind: ClusterRole
  name: jenkins-secret-manager
  apiGroup: rbac.authorization.k8s.io

2. 验证 kubectl 容器的集群连接与权限 #

在流水线中添加调试步骤，确认 kubectl 是否能正常连接集群以及是否拥有对应权限：

stage('Debug kubectl') {
  steps {
    container('kubectl') {
      sh 'kubectl version --short'
      sh 'kubectl auth can-i create secret'
    }
  }
}

• 若 kubectl version 失败：说明容器无法访问 Kubernetes API，检查集群网络策略、Pod 的 ServiceAccount 挂载是否正常（kubeconfig 会自动挂载到 /var/run/secrets/kubernetes.io/serviceaccount/）。
• 若 kubectl auth can-i 返回 no：说明权限不足，回到步骤1配置RBAC。

3. 检查 kubectl 镜像的命令路径 #

部分镜像中 kubectl 的执行路径可能不在默认 PATH 中，尝试使用完整路径执行命令：

stage('Create Docker Registry secret') {
  steps {
    container('kubectl') {
      sh '/opt/bitnami/kubectl create secret docker-registry ...'
    }
  }
}

（bitnami/kubectl 镜像中 kubectl 默认路径为 /opt/bitnami/kubectl，可通过 sh 'which kubectl' 确认具体路径）

4. 调整 kubectl 容器的启动命令（可选） #

虽然 helm 容器使用 cat + tty: true 正常，但部分镜像可能对这种启动方式兼容性不佳，尝试替换为 sleep infinity 保持容器运行：

containers:
- name: kubectl
  image: bitnami/kubectl:latest
  command:
  - sleep
  - "infinity"
  tty: true

内容的提问来源于stack exchange，提问作者Anton Kozytskyi