执行get-credentials后访问GCP集群仍遇kubectl未授权错误

问题现象 #

执行kubectl get pods -A等命令时持续收到You must be logged in to the server (Unauthorized)错误，已执行以下操作：

gcloud container clusters create <cluster_name> --zone <zone> --project <project_name>
minikube start
kubectl proxy --port=8080 &
gcloud container clusters get-credentials <cluster_name> --zone <zone> --project <project_name>
gcloud auth login

完成浏览器登录后，以下检查项均正常：

1. 当前上下文正确：

kubectl config current-context
# 输出：gke_<project_name>_<zone>_<cluster_name>

2. kubectl proxy可正常访问API：

curl http://localhost:8080/api/
# 输出正常API版本信息

3. cluster-info显示集群组件正常运行：

kubectl cluster-info
# 输出控制平面及各组件地址

但执行kubectl get pods -A仍报错：

kubectl get pods -A
# 输出：error: You must be logged in to the server (Unauthorized)

另外，Linux系统中无/etc/kubernetes/admin.conf目录，常规指南方案不适用。

排查解决步骤 #

1. 强制刷新GKE集群凭证

执行命令强制覆盖本地kubectl配置，避免旧配置或minikube配置干扰：

gcloud container clusters get-credentials <cluster_name> --zone <zone> --project <project_name> --force-overwrite

2. 验证gcloud账号权限与一致性

• 确认当前活跃gcloud账号拥有集群访问权限：

  gcloud auth list
  

  确保输出的活跃账号是集群创建者，或已被赋予Kubernetes Engine相关角色。
• 用gcloud生成的token直接测试集群API：

  curl -H "Authorization: Bearer $(gcloud auth print-access-token)" https://<cluster-control-plane-ip>/api/v1/pods
  

  • 若返回pod列表：说明token有效，问题出在kubectl配置；
  • 若返回Unauthorized：说明账号无集群权限，需在GCP控制台给账号添加roles/container.admin或roles/container.developer角色。

3. 排查minikube配置冲突

• 查看所有kubectl上下文，确认当前上下文无混淆：

  kubectl config get-contexts
  

• 切换到minikube上下文测试，验证kubectl本身功能正常：

  kubectl config use-context minikube
  kubectl get pods -A
  kubectl config use-context gke_<project_name>_<zone>_<cluster_name>
  

4. 检查本地kubectl配置文件

Linux系统中kubectl配置默认存储在~/.kube/config（而非/etc/kubernetes/admin.conf，后者是kubeadm本地集群的配置路径）：

• 查看GKE上下文的认证配置：

  cat ~/.kube/config | grep -A 15 "gke_<project_name>_<zone>_<cluster_name>"
  

  确认user字段下存在auth-provider: gcp配置，若token过期，可手动替换为gcloud auth print-access-token的输出内容。

5. 重置kubectl配置（可选）

若以上步骤无效，备份并重置配置后重新生成：

mv ~/.kube/config ~/.kube/config.bak
gcloud container clusters get-credentials <cluster_name> --zone <zone> --project <project_name>

内容的提问来源于stack exchange，提问作者lo tolmencre