集群内Java应用使用Kubernetes官方Java客户端列出Jobs报错求助

集群内运行的应用完全可以和Kubernetes控制平面通信，实现列出Jobs、创建Jobs等操作，你的问题出在错误地使用了本地的kubeconfig文件，正确的做法是利用Kubernetes的**服务账号（ServiceAccount）**进行集群内认证，无需打包本地的kubeconfig。

具体操作步骤： #

1. 清理Dockerfile中的kubeconfig相关配置
   移除复制本地kubeconfig的步骤，修改后的Dockerfile如下：

   FROM adoptopenjdk/openjdk11:latest
   WORKDIR /app
   COPY target/official-kubernetes-client-example-1.0-SNAPSHOT-spring-boot.jar ./official-kubernetes-client-example-1.0-SNAPSHOT.jar
   CMD java $JAVA_OPTIONS -jar official-kubernetes-client-example-1.0-SNAPSHOT.jar
   

2. 创建服务账号并配置权限

   • 创建ServiceAccount：

     apiVersion: v1
     kind: ServiceAccount
     metadata:
       name: job-manager-sa
       namespace: your-app-namespace # 替换为你的应用实际所在的命名空间
     

   • 创建ClusterRole（如需跨命名空间操作Jobs）：

     apiVersion: rbac.authorization.k8s.io/v1
     kind: ClusterRole
     metadata:
       name: job-manager-role
     rules:
     - apiGroups: ["batch"]
       resources: ["jobs"]
       verbs: ["get", "list", "create", "delete"] # 根据实际需求调整权限范围
     

   • 绑定ClusterRole到ServiceAccount：

     apiVersion: rbac.authorization.k8s.io/v1
     kind: ClusterRoleBinding
     metadata:
       name: job-manager-binding
     subjects:
     - kind: ServiceAccount
       name: job-manager-sa
       namespace: your-app-namespace
     roleRef:
       kind: ClusterRole
       name: job-manager-role
       apiGroup: rbac.authorization.k8s.io
     

     如果只需要操作当前命名空间的Jobs，可将上述ClusterRole和ClusterRoleBinding替换为Role和RoleBinding。

3. 部署应用时指定使用该ServiceAccount
   在Deployment的Pod模板中添加serviceAccountName字段，指定刚才创建的服务账号：

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: your-app-deployment
     namespace: your-app-namespace
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: your-app
     template:
       metadata:
         labels:
           app: your-app
       spec:
         serviceAccountName: job-manager-sa
         containers:
         - name: your-app-container
           image: your-docker-image:tag # 替换为你的镜像地址
           resources:
             requests:
               cpu: "100m"
               memory: "256Mi"
             limits:
               cpu: "500m"
               memory: "512Mi"
   

4. Java客户端自动适配集群内环境
   Kubernetes官方Java客户端会自动识别集群内运行环境：

   • 自动读取Pod内挂载的服务账号令牌（路径：/var/run/secrets/kubernetes.io/serviceaccount/token）
   • 自动通过环境变量KUBERNETES_SERVICE_HOST和KUBERNETES_SERVICE_PORT获取API服务地址
     你的原有代码无需任何修改，即可正常与控制平面通信。

原方式报错原因 #

本地kubeconfig包含的是本地机器的认证凭据（如GCP本地凭据），这些凭据在集群内的Pod中无效，且Pod无法访问本地认证代理，导致API请求认证失败，抛出ApiException。

内容的提问来源于stack exchange，提问作者carlos palma