Kind+Docker Compose环境下，如何让Kubernetes Go客户端忽略SSL证书问题？

问题背景 #

我使用Kind结合Docker Compose部署环境，在docker-compose文件中配置了：

extra_hosts:
  - "host.docker.internal:host-gateway"

该配置允许连接到运行在localhost的Kind集群，但Kind仅为localhost颁发证书，并未为host.docker.internal颁发证书。当前使用以下代码初始化Kubernetes Go客户端：

clientset := kubernetes.NewForConfigOrDie(ctrl.GetConfigOrDie())

运行时出现证书验证错误：

app-1       | panic: Get "https://host.docker.internal:33345/apis/apps/v1/namespaces/argo/deployments": x509: certificate is valid for kind-control-plane, kubernetes, kubernetes.default, kubernetes.default.svc, kubernetes.default.svc.cluster.local, localhost, not host.docker.internal

解决方法 #

方法一：全局跳过证书验证 #

通过修改客户端配置的InsecureSkipTLSVerify字段，直接关闭证书验证：

// 获取基础配置
config := ctrl.GetConfigOrDie()
// 复制配置避免修改全局实例
configCopy := rest.CopyConfig(config)
// 开启跳过证书验证
configCopy.InsecureSkipTLSVerify = true

// 使用修改后的配置创建Clientset
clientset := kubernetes.NewForConfigOrDie(configCopy)

方法二：指定合法的ServerName（更安全） #

不关闭证书验证，而是让客户端在验证时将目标域名替换为证书中包含的合法域名（比如localhost）：

config := ctrl.GetConfigOrDie()
configCopy := rest.CopyConfig(config)

// 自定义TLS配置，指定ServerName为证书有效的域名
configCopy.TLSClientConfig = rest.TLSClientConfig{
    InsecureSkipTLSVerify: false,
    ServerName:            "localhost", // 证书中已包含的合法域名
    CAData:                config.TLSClientConfig.CAData, // 保留原CA证书配置
}

clientset := kubernetes.NewForConfigOrDie(configCopy)

第二种方式更安全，因为它仍然会验证证书的有效性，只是调整了域名匹配的目标。

内容的提问来源于stack exchange，提问作者Rodrigo