如何让Docker容器中Cron Job内的kubectl命令获取集群访问权限？

问题分析 #

直接在容器终端执行kubectl能正常返回集群信息，但crontab定时执行脚本时，仅kubectl客户端本地命令有输出，集群交互类命令（cluster-info、get pods等）输出为空。核心原因是crontab执行环境缺少集群访问的凭证配置，或者未正确使用Kubernetes ServiceAccount授权。

解决方案 #

方案1：在脚本中明确指定kubeconfig路径 #

交互式shell通常会自动加载KUBECONFIG环境变量或默认~/.kube/config路径，但crontab的执行环境不会自动加载这些配置。修改脚本scheduler_job.sh，在开头添加kubeconfig路径配置：

#!/bin/bash
# 指定kubeconfig路径（根据实际路径调整）
export KUBECONFIG=/root/.kube/config

whereis kubectl
kubectl version --client
kubectl cluster-info
kubectl get pods -n kube-system
kubectl rollout restart ds/scheduler-ds -n kube-system

也可以直接在每个kubectl命令后追加--kubeconfig=/root/.kube/config参数，效果一致。

方案2：使用Kubernetes ServiceAccount授权（推荐） #

这是Kubernetes集群内应用访问API的标准方式，无需手动管理kubeconfig文件：

1. 创建ServiceAccount

apiVersion: v1
kind: ServiceAccount
metadata:
  name: cronjob-sa
  namespace: kube-system # 替换为你的CronJob所在命名空间

2. 创建ClusterRole定义权限
   根据脚本中的kubectl命令，赋予对应的集群权限：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cronjob-cluster-role
rules:
- apiGroups: [""]
  resources: ["pods", "services"]
  verbs: ["get", "list"] # 对应cluster-info、get pods命令
- apiGroups: ["apps"]
  resources: ["daemonsets/rollout"]
  verbs: ["create"] # 对应rollout restart命令

3. 绑定ClusterRole到ServiceAccount

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: cronjob-sa-binding
subjects:
- kind: ServiceAccount
  name: cronjob-sa
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: cronjob-cluster-role
  apiGroup: rbac.authorization.k8s.io

4. 修改CronJob配置使用该ServiceAccount
   在CronJob的Pod模板中指定serviceAccountName：

apiVersion: batch/v1
kind: CronJob
metadata:
  name: your-cronjob-name
spec:
  schedule: "*/30 * * * *"
  jobTemplate:
    spec:
      template:
        spec:
          serviceAccountName: cronjob-sa # 绑定ServiceAccount
          containers:
          - name: cronjob-container
            image: your-image:tag
            command: ["/bin/sh", "-c"]
            args: ["crontab /path/to/your/crontab && cron -f"]
          restartPolicy: OnFailure

完成以上配置后，kubectl会自动使用ServiceAccount挂载的凭证（路径/var/run/secrets/kubernetes.io/serviceaccount/）访问集群，无需额外配置kubeconfig。

排查小技巧 #

如果仍有问题，可以在脚本开头添加环境变量输出，对比交互式shell的环境差异：

env > /var/log/cron_env.log

内容的提问来源于stack exchange，提问作者sk2