PGO客户端配置Shell脚本执行报错排查求助

1. 核心错误原因 #

你创建的pgo.tls Secret是docker-registry类型，这类Secret仅存储Docker镜像仓库的认证配置（字段为.data.dockerconfigjson），完全没有脚本需要的tls.crt和tls.key字段，导致模板执行时找不到对应值，抛出invalid value; expected string错误。

同时pgouser-admin Secret的报错，大概率是对应username/password字段缺失，或者Secret本身不存在。

2. 排查与修复步骤 #

步骤1：检查pgouser-admin Secret的有效性 #

先确认Secret是否存在、内部字段是否正确：

kubectl get secret -n "${PGO_OPERATOR_NAMESPACE}" "${PGO_USER_ADMIN}" -o yaml

• 若Secret不存在：需通过PGO Operator初始化流程生成，或手动创建包含username和password的Opaque类型Secret，示例命令：

  kubectl create secret generic pgouser-admin -n "${PGO_OPERATOR_NAMESPACE}" \
    --from-literal=username=pgoadmin \
    --from-literal=password=your-secure-password
  

• 若存在但无username/password字段：修改Secret添加这两个字段即可。

步骤2：重新创建正确类型的pgo.tls Secret #

PGO客户端需要的tls.crt和tls.key是TLS证书密钥对，必须创建Opaque类型的Secret：

方法A：使用现成证书文件

假设已有client.crt和client.key文件，直接创建Secret：

kubectl create secret generic pgo.tls -n "${PGO_OPERATOR_NAMESPACE}" \
  --from-file=tls.crt=./client.crt \
  --from-file=tls.key=./client.key

方法B：生成自签名证书（无现成证书时用）

先生成证书密钥对，再创建Secret：

# 生成自签名TLS证书
openssl req -x509 -newkey rsa:4096 -keyout client.key -out client.crt -days 365 -nodes -subj "/CN=pgo-client"

# 创建Secret
kubectl create secret generic pgo.tls -n "${PGO_OPERATOR_NAMESPACE}" \
  --from-file=tls.crt=./client.crt \
  --from-file=tls.key=./client.key

步骤3：验证Secret结构 #

创建完成后，检查Secret的yaml输出，确认.data下存在tls.crt和tls.key字段：

kubectl get secret pgo.tls -n "${PGO_OPERATOR_NAMESPACE}" -o yaml

步骤4：重新执行配置脚本 #

现在再运行你的Shell脚本，即可正常生成PGO客户端所需文件。

额外注意事项 #

• 脚本中PGO_CA_CERT应指向CA证书文件，而非客户端证书client.crt，若CA证书单独存储，需补充创建包含ca.crt字段的Secret，或调整环境变量指向正确路径。
• 确保OUTPUT_DIR变量已正确定义且对应目录存在，避免文件写入失败。

内容的提问来源于stack exchange，提问作者user19238163