如何用@kubernetes/client-node程序化连接多K8S集群（含AWS EKS）

需求：程序化将jobs.yml脚本推送至多个Kubernetes集群，集群连接信息由客户提供并加密存储在数据库或S3中。计划使用npm包@kubernetes/client-node实现，可通过kc.loadFromFile()加载~/kube/config，但当前集群由aws eksctl create cluster -f cluster.yaml创建，依赖aws configure认证。

问题1：跨云通用（非AWS专属）需索要的凭证及字段 #

为适配所有云厂商Kubernetes集群（含EKS、GKE、AKS及自建集群），需向用户索要以下核心凭证字段，按集群基础信息、用户认证维度划分：

集群基础信息 #

• 集群API服务器地址（server）：Kubernetes API的访问端点，例如https://xxx.gr7.ap-south-1.eks.amazonaws.com
• 集群CA证书数据（certificate-authority-data）：用于验证API服务器身份的Base64编码证书内容，防止中间人攻击

用户认证信息（需提供至少一种认证方式） #

根据不同认证类型，索要对应字段：

1. 静态Token认证
   • 认证Token（token）：直接用于API请求的Bearer Token
2. 用户名/密码认证
   • 用户名（username）
   • 密码（password）
3. 客户端证书认证
   • 客户端证书数据（client-certificate-data）：Base64编码的客户端证书
   • 客户端密钥数据（client-key-data）：Base64编码的客户端私钥
4. 云厂商专属认证（可选，优先通用方式）
   • 若用户仅能提供云厂商凭证，需对应索要：
     • AWS：Access Key ID、Secret Access Key、区域（Region）
     • GCP：服务账号密钥JSON内容
     • Azure：服务主体ID、客户端密钥、租户ID、订阅ID

问题2：未配置aws configure的EC2实例运行Node.js代码报错的解决方案 #

错误原因 #

从报错栈及kube/config内容来看，问题出在认证环节：kubeconfig配置了通过aws-iam-authenticator执行命令获取认证Token，但目标EC2实例缺少两个关键条件：

1. 未安装aws-iam-authenticator工具，导致执行命令失败返回null
2. 未配置AWS认证凭证（aws configure的密钥或IAM角色），即使工具存在也无法生成有效Token

具体解决方案 #

方案1：安装工具并配置AWS凭证

1. 在EC2实例上安装aws-iam-authenticator（以Linux为例）：

   curl -o aws-iam-authenticator https://amazon-eks.s3.us-west-2.amazonaws.com/1.27.1/2023-04-19/bin/linux/amd64/aws-iam-authenticator
   chmod +x ./aws-iam-authenticator
   sudo mv ./aws-iam-authenticator /usr/local/bin/
   

2. 配置AWS凭证：
   • 方式A：执行aws configure输入Access Key ID、Secret Access Key、区域
   • 方式B：给EC2实例绑定具有EKS访问权限的IAM角色（推荐，无需手动配置密钥）

方案2：修改kubeconfig使用静态Token（临时测试用）

如果仅做临时测试，可手动获取认证Token替换kubeconfig中的exec认证：

1. 在本地已配置aws configure的环境中执行：

   aws-iam-authenticator token -i <你的集群名称> --token-only
   

2. 将kubeconfig中的用户部分替换为静态Token：

   users:
   - name: iam-root-account@xxxxxx.ap-south-1.eksctl.io
     user:
       token: <上面获取的Token字符串>
   

   注意：静态Token有有效期，过期后需重新生成，不适合长期使用。

方案3：在Node.js代码中手动注入AWS凭证

若不想修改kubeconfig，可在代码中直接设置AWS环境变量：

const k8s = require('@kubernetes/client-node');
// 提前设置AWS凭证
process.env.AWS_ACCESS_KEY_ID = '你的Access Key';
process.env.AWS_SECRET_ACCESS_KEY = '你的Secret Key';
process.env.AWS_DEFAULT_REGION = 'ap-south-1';

const kc = new k8s.KubeConfig();
kc.loadFromFile('/.kube/config');
const k8sApi = kc.makeApiClient(k8s.CoreV1Api);

// 添加异常捕获
k8sApi.listNamespacedPod('default')
  .then((res) => {
    let pods = res.body.items;
    console.log(pods);
  })
  .catch(err => console.error('请求失败:', err));

内容的提问来源于stack exchange，提问作者rohitcoder