Kubernetes Pod内运行Firebase Admin SDK抛出X509证书错误排查

在Kubernetes集群中部署基于Firebase Admin SDK开发的Golang服务时，调用ID令牌校验逻辑触发X509证书错误，本地开发环境运行无异常。
核心报错信息：

Get "https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com": x509: certificate is valid for cloudfront.net, *.cloudfront.net, not www.googleapis.com

已尝试操作：基于Alpine构建镜像时预装CA证书，对应Dockerfile配置：

FROM alpine:latest
RUN apk add --no-cache ca-certificates && update-ca-certificates

触发报错的业务代码段：

token, err := firebaseAuth.VerifyIDToken(context.Background(), idToken)

首先可以直接排除「系统缺少根CA证书」的方向：当前报错是返回的证书域名和请求域名不匹配，不是「证书由未知权威机构签发」，说明TLS握手已经拿到了对方的证书，只是这个证书属于Cloudfront而非Google API，本质是访问www.googleapis.com的流量被错误路由到了Cloudfront的节点上，和本地CA证书安装与否没有关系，你猜测的DNS配置异常是高概率诱因。

按优先级从高到低排查：

• 验证Pod内的DNS解析结果
  进入业务Pod执行解析测试：

  # 若Pod内无nslookup命令，先执行apk add --no-cache bind-tools安装
  kubectl exec -it <你的业务Pod名称> -- nslookup www.googleapis.com
  

  如果返回的IP归属不是Google官方节点，而是Cloudfront所属的IP段，直接定位为DNS解析污染/错配问题。
• 验证Pod内的实际请求链路
  在Pod内直接发起curl请求，查看TLS握手详情：

  kubectl exec -it <你的业务Pod名称> -- curl -v https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com
  

  重点看返回的证书主题、SAN域名列表，确认是否确实拿到了Cloudfront的证书，排除Golang代码层的特殊配置影响。
• 排查集群流量劫持规则
  检查CoreDNS配置（通常在kube-system命名空间下的coredns ConfigMap），确认是否存在针对googleapis.com域名的错误转发规则，或者CoreDNS配置的上游DNS服务器本身存在域名污染。
  检查集群是否部署了服务网格（Istio/Linkerd等）、出口网关、透明代理，是否配置了错误的出向流量路由规则，导致Google API的请求被转发到错误的CDN节点。
  若集群部署在企业内网，检查是否存在上网行为管理、SSL卸载设备对出向公网流量做了劫持，SNI匹配错误导致返回Cloudfront默认证书。
• 排查Pod环境变量的代理配置
  查看Pod是否配置了HTTP_PROXY/HTTPS_PROXY环境变量，确认代理服务器是否存在针对Google域名的错误路由规则。

• DNS层修复
  修正CoreDNS的上游DNS配置，替换为无域名污染的可靠DNS源（优先使用集群所在云厂商提供的内网DNS服务）；如果是私有离线集群，配置正确的出向NAT规则，确保公网请求路径正常。
  临时快速验证可以通过K8s的hostAliases字段给Pod配置静态hosts记录，将www.googleapis.com指向正确的Google API节点IP，配置示例：

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: your-firebase-service
  spec:
    replicas: 1
    template:
      spec:
        hostAliases:
        - ip: "<正确的www.googleapis.com IP地址>"
          hostnames:
          - "www.googleapis.com"
        containers:
        - name: your-service
          image: your-service-image:latest
  

• 流量劫持层修复
  若使用服务网格，添加对应ServiceEntry规则，允许到googleapis.com的流量直通出集群，不要做TLS终止或错误路由。
  若存在企业内网SSL卸载/代理，将googleapis.com加入代理直通列表，或者将企业自签根证书导入到Alpine系统的CA信任目录（将证书放到/usr/local/share/ca-certificates/目录后执行update-ca-certificates生效）。
  若配置了HTTP代理，将googleapis.com加入NO_PROXY列表，绕过代理直接请求。

内容的提问来源于stack exchange，提问作者Marin Miletić