从Docker容器访问Kubernetes API时遇连接拒绝问题求助

我来帮你搞定这个问题！你遇到的Connection Refused错误，核心原因是容器内的127.0.0.1:8001并不是Kubernetes API Server的正确访问地址，下面给你一步步的修复方案：

1. 理解问题根源 #

Kubernetes集群里，每个Pod内的容器都有独立的网络命名空间，你代码里写的127.0.0.1指向的是容器自身，而不是集群的API Server。本地开发时用kubectl proxy暴露的8001端口只在你的主机上生效，容器里根本访问不到这个端口。

2. 使用Kubernetes自动注入的环境变量访问API Server #

Kubernetes会自动给每个Pod注入两个关键环境变量，用来定位API Server：

• KUBERNETES_SERVICE_HOST：API Server的集群内部地址
• KUBERNETES_SERVICE_PORT：API Server的集群内部端口

你可以直接用这两个变量拼接API地址，完全不需要硬编码IP和端口。

3. 用Pod的ServiceAccount Token做安全认证 #

你现在硬编码Token的方式既不安全也不灵活，Kubernetes会自动给每个Pod挂载默认ServiceAccount的Token文件，路径是/var/run/secrets/kubernetes.io/serviceaccount/token，直接读取这个文件就能获取有效的认证Token，还能避免Token泄露或过期的问题。

4. 确保ServiceAccount有足够权限 #

别忘了给你的Pod绑定的ServiceAccount配置对应的权限，比如如果要创建Job，需要给ServiceAccount授予batch.jobs.create等相关权限，否则即使能连上API Server，也会收到403权限错误。

修改后的代码示例 #

using System;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Text;
using System.Threading.Tasks;
using Newtonsoft.Json;

public async Task<string> CallK8sJobApi(object jobObj)
{
    // 从环境变量获取API Server地址
    var k8sHost = Environment.GetEnvironmentVariable("KUBERNETES_SERVICE_HOST");
    var k8sPort = Environment.GetEnvironmentVariable("KUBERNETES_SERVICE_PORT");
    // 注意：原路径不完整，创建Job需要追加/jobs后缀
    var apiUrl = $"http://{k8sHost}:{k8sPort}/apis/batch/v1/namespaces/default/jobs";

    using (HttpClient client = new HttpClient())
    {
        // 读取自动挂载的ServiceAccount Token
        var token = await System.IO.File.ReadAllTextAsync("/var/run/secrets/kubernetes.io/serviceaccount/token");
        
        var requestJson = JsonConvert.SerializeObject(jobObj);
        var content = new StringContent(requestJson, Encoding.UTF8, "application/json");
        
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token);
        client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
        
        try
        {
            var result = await client.PostAsync(apiUrl, content);
            result.EnsureSuccessStatusCode(); // 主动抛出HTTP异常，方便排查问题
            var resultString = await result.Content.ReadAsStringAsync();
            return resultString;
        }
        catch (HttpRequestException ex)
        {
            // 可以在这里添加日志或异常处理逻辑
            throw new Exception($"调用K8s API失败: {ex.Message}", ex);
        }
    }
}

额外注意点 #

• 你的原API路径/apis/batch/v1/namespaces/default不完整，执行创建Job操作需要追加/jobs后缀，要根据实际操作调整路径。
• 如果Pod没有自动挂载Token，检查Pod配置里是否设置了automountServiceAccountToken: true（默认是开启的）。

内容的提问来源于stack exchange，提问作者ISK