Cloud Function调用GKE Kubernetes API遇SSL证书验证失败求助

一、正确添加GKE集群证书到信任库（推荐生产环境使用） #

GKE API服务器的CA证书可以通过集群信息获取，将其加入Cloud Function的信任链就能解决SSL握手问题：

1. 获取GKE集群CA证书
   用gcloud命令导出证书内容：

   gcloud container clusters describe [你的集群名] --zone [集群所在区域] --format="value(masterAuth.clusterCaCertificate)"
   

   把输出的PEM格式证书字符串存到Cloud Function的环境变量中（比如命名为GKE_CA_CERT），避免硬编码。

2. 在Java代码中加载证书
   以Apache HttpClient为例，加载证书并构建信任上下文：

   import java.io.ByteArrayInputStream;
   import java.security.cert.CertificateFactory;
   import java.security.cert.X509Certificate;
   import javax.net.ssl.SSLContext;
   import org.apache.http.ssl.SSLContexts;
   import org.apache.http.client.HttpClient;
   import org.apache.http.impl.client.HttpClients;
   
   // 从环境变量读取CA证书
   String caCertStr = System.getenv("GKE_CA_CERT");
   CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
   X509Certificate caCert = (X509Certificate) certFactory.generateCertificate(
       new ByteArrayInputStream(caCertStr.getBytes())
   );
   
   // 构建包含GKE CA的SSL上下文
   SSLContext sslContext = SSLContexts.custom()
       .loadTrustMaterial((certChain, authType) -> {
           for (java.security.cert.Certificate cert : certChain) {
               if (cert.equals(caCert)) {
                   return true;
               }
           }
           return false;
       })
       .build();
   
   // 生成带信任配置的HttpClient
   HttpClient httpClient = HttpClients.custom()
       .setSSLContext(sslContext)
       .build();
   

二、临时跳过SSL验证（仅测试环境用） #

跳过验证会带来中间人攻击风险，绝对禁止在生产环境使用，仅用于临时调试：

import javax.net.ssl.SSLContext;
import org.apache.http.ssl.SSLContexts;
import org.apache.http.conn.ssl.NoopHostnameVerifier;
import org.apache.http.conn.ssl.TrustSelfSignedStrategy;
import org.apache.http.client.HttpClient;
import org.apache.http.impl.client.HttpClients;

// 构建信任所有证书的SSL上下文
SSLContext sslContext = SSLContexts.custom()
    .loadTrustMaterial(null, new TrustSelfSignedStrategy())
    .build();

// 生成跳过证书验证的HttpClient
HttpClient httpClient = HttpClients.custom()
    .setSSLContext(sslContext)
    .setSSLHostnameVerifier(NoopHostnameVerifier.INSTANCE)
    .build();

额外提示：解决Kubernetes Java客户端的认证问题 #

其实你不需要绕开官方客户端，通过Workload Identity就能解决认证问题：

1. 给Cloud Function的服务账号授予GKE集群的访问权限；
2. 在代码中用GCP自动认证初始化客户端，无需手动配置.kube/config：

   import io.kubernetes.client.openapi.ApiClient;
   import io.kubernetes.client.openapi.Configuration;
   import io.kubernetes.client.util.gcp.GCPAuthenticator;
   
   ApiClient client = GCPAuthenticator.authenticate();
   Configuration.setDefaultApiClient(client);
   

   这种方式会自动处理认证和CA证书信任，比手动调用API更稳定可靠。

内容的提问来源于stack exchange，提问作者carlos palma