Pulumi中Kubernetes令牌过期问题：删除集群遇认证错误

问题重现 #

删除Pulumi创建的Kubernetes集群时遇到以下错误：

error: configured Kubernetes cluster is unreachable: unable to load schema information from the API server: the server has asked for the client to provide credentials
If the cluster has been deleted, you can edit the pulumi state to remove this resource

当前通过手动执行pulumi refresh和pulumi up刷新凭证可临时解决，但需要更简便的持久化方案。

核心解决方案：让Provider自动同步集群凭证 #

无需频繁手动操作的关键是让Pulumi Kubernetes Provider动态绑定集群资源的凭证，而非依赖本地静态kubeconfig。

1. 动态配置Kubernetes Provider #

在Pulumi代码中，直接从你创建的集群对象（如EKS/GKE/AKS实例）中动态获取kubeconfig，而非硬编码：

以AWS EKS为例：

import * as aws from "@pulumi/aws";
import * as eks from "@pulumi/eks";
import * as k8s from "@pulumi/kubernetes";

// 创建EKS集群
const cluster = new eks.Cluster("my-cluster", {/* 你的集群配置参数 */});

// 基于集群的动态kubeconfig创建Provider
const k8sProvider = new k8s.Provider("k8s-provider", {
    kubeconfig: cluster.kubeconfig.apply(JSON.stringify),
});

// 所有K8s资源都指定使用这个动态Provider
const appNamespace = new k8s.core.v1.Namespace("app-ns", {}, { provider: k8sProvider });

这种配置下，Pulumi会自动跟踪集群的凭证变化，无需手动执行刷新命令。

2. 快速修复已出现的状态异常 #

如果已经出现集群无法访问的错误，可直接编辑Pulumi状态移除失效资源：

1. 先列出所有资源找到目标URN：

   pulumi stack resources
   

2. 删除指定资源：

   pulumi state delete <目标资源URN>
   

3. 云厂商托管集群的自动凭证优化 #

针对云厂商托管集群，可利用其原生凭证机制实现自动刷新：

• AWS EKS：确保Pulumi使用的AWS身份拥有eks:DescribeCluster权限，Provider会自动调用aws eks get-token获取临时凭证
• GKE：安装gke-gcloud-auth-plugin，Pulumi会自动复用gcloud的凭证刷新逻辑
• AKS：确保运行Pulumi的环境已登录Azure CLI，Provider会自动使用Azure的临时凭证

关键注意事项 #

• 禁止在代码中硬编码kubeconfig或静态凭证，避免凭证过期失效
• 所有Kubernetes资源必须关联到动态创建的Provider，而非默认Provider
• 确保Pulumi运行环境的云厂商CLI/SDK权限足够，能正常访问集群

内容的提问来源于stack exchange，提问作者Julie