Kubernetes存活探针通过Secret传HTTP头遇401未授权问题求助

你遇到的问题核心在于：Kubernetes的httpGet类型探针的httpHeaders字段不支持直接引用容器的环境变量。当你在value: $MY_SECRET里写这个变量时，kubelet会把$MY_SECRET当作字面量直接发送到HTTP请求头里，而不是替换成你定义的环境变量值，这就导致服务端收到的Authorization头是无效的$MY_SECRET，自然返回401未授权。

下面提供两种可行的解决方法，你可以根据自己的场景选择：

方法一：使用exec类型探针，通过命令调用HTTP请求（推荐） #

把存活探针改成exec类型，用curl或者wget这类工具发送请求，这样就能正常引用容器的环境变量了。

首先确保你的容器镜像里包含curl（如果没有的话，需要在镜像构建时安装，比如Alpine镜像可以用apk add curl，Debian/Ubuntu用apt-get install curl），然后修改容器配置：

- name: mycontainer
  image: myimage
  env:
  - name: MY_SECRET
    valueFrom:
      secretKeyRef:
        name: actuatortoken
        key: token
  livenessProbe:
    exec:
      command:
      - sh
      - -c
      - "curl -f -H 'Authorization: $MY_SECRET' http://localhost:9001/test/actuator/health"
    initialDelaySeconds: 10  # 根据你的服务启动时间调整
    periodSeconds: 5         # 探针检测间隔

这里的-f参数是让curl在请求失败时返回非0退出码，这样kubelet就能正确识别探针失败。

如果你的容器里没有curl，可以用wget替代：

command:
- sh
- -c
- "wget --spider --header='Authorization: $MY_SECRET' http://localhost:9001/test/actuator/health"

--spider参数让wget只检查资源是否存在，不会下载内容，适合探针场景。

方法二：直接挂载Secret到文件，读取文件内容作为请求头 #

另一种方式是把Secret直接挂载成容器内的文件，然后在探针命令里读取文件内容，这样可以不用依赖环境变量：

首先添加挂载配置：

- name: mycontainer
  image: myimage
  volumeMounts:
  - name: actuator-token-volume
    mountPath: /var/run/secrets/actuator
    readOnly: true
  livenessProbe:
    exec:
      command:
      - sh
      - -c
      - "curl -f -H 'Authorization: $(cat /var/run/secrets/actuator/token)' http://localhost:9001/test/actuator/health"
    initialDelaySeconds: 10
    periodSeconds: 5
volumes:
- name: actuator-token-volume
  secret:
    secretName: actuatortoken

这种方式的优点是不需要额外配置环境变量，直接读取Secret文件，在一些对环境变量使用有限制的场景下更适用。

你可以进入容器内部手动执行探针里的命令，看看是否能正常返回成功：

kubectl exec -it <pod-name> -c mycontainer -- sh
# 然后执行探针里的命令，比如
curl -v -H 'Authorization: $MY_SECRET' http://localhost:9001/test/actuator/health

如果返回200状态码，说明配置没问题。

内容的提问来源于stack exchange，提问作者magic