执行Kubectl命令遇x509未知权威证书错误的AKS连接问题

• 验证AKS集群运行状态
  先确认集群本身是否正常部署完成：

  az aks show --resource-group sitecore10.x-dev-k8s --name sitecore102-Dev-AKS-v1 --query provisioningState
  

  输出应为Succeeded，如果不是，等待集群部署完成或排查集群故障。

• 重新获取管理员级集群凭证
  普通用户凭证可能存在权限或配置问题，尝试用管理员权限重新获取：

  az aks get-credentials --resource-group sitecore10.x-dev-k8s --name sitecore102-Dev-AKS-v1 --overwrite-existing --admin
  

• 检查API服务器授权IP范围
  若AKS配置了API服务器访问白名单，当前机器IP不在列表内会导致访问失败：

  1. 查看当前授权IP范围：

     az aks show --resource-group sitecore10.x-dev-k8s --name sitecore102-Dev-AKS-v1 --query apiServerAccessProfile.authorizedIpRanges
     

  2. 若列表不为空且无当前机器公网IP，添加IP到白名单：

     az aks update --resource-group sitecore10.x-dev-k8s --name sitecore102-Dev-AKS-v1 --api-server-authorized-ip-ranges <你的公网IP>/32
     

• 手动导出并配置集群CA证书
  证书信任问题可通过手动导入CA证书解决：

  1. 导出AKS集群CA证书到本地文件：

     az aks show --resource-group sitecore10.x-dev-k8s --name sitecore102-Dev-AKS-v1 --query "masterProfile.caCertificate" -o tsv | base64 --decode > aks-ca.crt
     

  2. 修改kubeconfig文件（默认路径~/.kube/config），将对应集群的certificate-authority-data替换为certificate-authority: <aks-ca.crt的绝对路径>

• 排查网络代理与DNS问题
  502错误多由网络路由或代理干扰导致：

  • 检查并清理干扰的代理环境变量：

    unset http_proxy https_proxy NO_PROXY no_proxy
    

  • 验证API服务器DNS解析：

    nslookup $(kubectl config view --minify -o jsonpath='{.clusters[0].cluster.server}' | cut -d/ -f3)
    

    确认解析结果为AKS API服务器的正确IP，若解析错误，切换至公共DNS（如8.8.8.8）重试。

• 重置AKS API服务器证书
  若以上步骤无效，可能是API服务器证书损坏，执行证书轮换：

  az aks rotate-certs --resource-group sitecore10.x-dev-k8s --name sitecore102-Dev-AKS-v1
  

  轮换完成后重新获取凭证：

  az aks get-credentials --resource-group sitecore10.x-dev-k8s --name sitecore102-Dev-AKS-v1 --overwrite-existing
  

内容的提问来源于stack exchange，提问作者Balaji Balasubramanian