Docker Desktop内置独立K8s集群新建上下文时的认证问题

你遇到的核心问题是：创建kubernetes-labs-dev和kubernetes-labs-prod上下文时指定了dev、prod用户，但这些用户并没有在kubeconfig中配置对应的认证凭证，所以K8s无法识别这些用户，导致执行命令时要求输入密码，或者报错error: cannot locate user dev。下面给你两种解决思路：

方案一：复用Docker Desktop默认用户（快速解决） #

Docker Desktop内置的K8s默认使用docker-desktop用户进行认证，你可以直接修改已创建的上下文，将用户替换为这个已存在的用户：

1. 执行命令修改dev上下文的用户：

kubectl config set-context kubernetes-labs-dev --user=docker-desktop

2. 同样修改prod上下文的用户：

kubectl config set-context kubernetes-labs-prod --user=docker-desktop

3. 重新切换到dev上下文并测试：

kubectl config use-context kubernetes-labs-dev
kubectl get pods

这时就不需要输入密码了，因为已经使用了Docker Desktop的默认认证凭证。

方案二：创建独立的dev/prod用户（适合权限隔离场景） #

如果你需要为dev和prod环境创建独立的用户并做权限控制，可以通过K8s的ServiceAccount来实现：

第一步：切换到有足够权限的上下文 #

先切回Docker Desktop的默认上下文，确保有创建资源的权限：

kubectl config use-context docker-desktop

第二步：创建dev用户及凭证 #

1. 在development命名空间创建ServiceAccount：

kubectl create serviceaccount dev -n development

2. 为dev用户分配命名空间内的编辑权限（根据需要调整ClusterRole）：

kubectl create rolebinding dev-edit --clusterrole=edit --serviceaccount=development:dev -n development

3. 获取dev用户的认证token并添加到kubeconfig：

# 获取ServiceAccount关联的Secret名称
SECRET_NAME=$(kubectl get serviceaccount dev -n development -o jsonpath='{.secrets[0].name}')
# 解码token
TOKEN=$(kubectl get secret $SECRET_NAME -n development -o jsonpath='{.data.token}' | base64 -d)
# 将dev用户添加到kubeconfig
kubectl config set-credentials dev --token=$TOKEN

第三步：创建prod用户及凭证 #

重复类似步骤处理prod用户：

# 创建prod ServiceAccount
kubectl create serviceaccount prod -n production
# 分配权限
kubectl create rolebinding prod-edit --clusterrole=edit --serviceaccount=production:prod -n production
# 获取并添加token到kubeconfig
SECRET_NAME=$(kubectl get serviceaccount prod -n production -o jsonpath='{.secrets[0].name}')
TOKEN=$(kubectl get secret $SECRET_NAME -n production -o jsonpath='{.data.token}' | base64 -d)
kubectl config set-credentials prod --token=$TOKEN

第四步：测试认证 #

现在切换到dev上下文，执行命令就可以正常访问了：

kubectl config use-context kubernetes-labs-dev
kubectl get pods

内容的提问来源于stack exchange，提问作者Lin Du