如何使用fabric8在Pod内部连接Kubernetes API

fabric8官方核心kubernetes-client库已经原生支持Pod内部连接Kubernetes API的场景，不需要引入额外的第三方依赖，也不需要手动读取本地kubeconfig文件，适配逻辑已经封装在客户端内部。

实现原理 #

Kubernetes会为每个运行的Pod自动注入服务账号（ServiceAccount）相关凭证，存储在容器内/var/run/secrets/kubernetes.io/serviceaccount路径下，包含三个核心文件：

• ca.crt：Kubernetes APIServer的CA根证书，用于校验服务端身份
• token：服务账号的身份认证令牌，用于客户端身份校验
• namespace：当前Pod所属的命名空间

fabric8客户端初始化时默认会按优先级读取配置，Pod内运行时会自动优先读取上述注入的服务账号凭证完成连接，无需额外配置。

使用步骤 #

1. 引入依赖 #

以Java Maven项目为例，直接引入核心客户端依赖即可，版本选择和你集群版本兼容的即可：

<dependency>
    <groupId>io.fabric8</groupId>
    <artifactId>kubernetes-client</artifactId>
    <version>适配你集群的版本号</version>
</dependency>

2. 配置RBAC权限 #

提前为Pod绑定的ServiceAccount配置对应API操作的权限，否则调用API会返回403 Forbidden错误，需要自行创建对应Role、RoleBinding完成权限授权。

3. 客户端调用示例 #

直接实例化KubernetesClient即可正常调用API：

import io.fabric8.kubernetes.client.DefaultKubernetesClient;
import io.fabric8.kubernetes.client.KubernetesClient;

public class K8sApiTest {
    public static void main(String[] args) {
        // 无参构造默认会自动匹配Pod内的服务账号凭证
        try (KubernetesClient client = new DefaultKubernetesClient()) {
            // 示例：查询当前命名空间下所有Pod的名称
            client.pods()
                  .inNamespace(client.getNamespace())
                  .list()
                  .getItems()
                  .forEach(pod -> System.out.println(pod.getMetadata().getName()));
        }
    }
}

自定义配置场景 #

如果需要调整连接超时、自定义凭证路径等参数，可以通过ConfigBuilder手动构造配置：

import io.fabric8.kubernetes.client.Config;
import io.fabric8.kubernetes.client.ConfigBuilder;
import io.fabric8.kubernetes.client.DefaultKubernetesClient;
import io.fabric8.kubernetes.client.KubernetesClient;

public class CustomConfigTest {
    public static void main(String[] args) {
        Config config = new ConfigBuilder()
                .withConnectionTimeout(10000) // 连接超时10秒
                .withRequestTimeout(10000) // 请求超时10秒
                // 如有自定义凭证路径可以手动指定，默认无需配置
                // .withCaCertFile("/custom/path/ca.crt")
                // .withOauthTokenFile("/custom/path/token")
                .build();
        try (KubernetesClient client = new DefaultKubernetesClient(config)) {
            // 业务逻辑
        }
    }
}

常见注意事项 #

• fabric8客户端的配置优先级为：手动传入的Config配置 > 系统环境变量 > Pod内服务账号凭证 > 本地~/.kube/config，Pod内运行时会自动命中服务账号配置，无需额外适配
• Kubernetes会默认给Pod注入KUBERNETES_SERVICE_HOST和KUBERNETES_SERVICE_PORT两个环境变量用于定位APIServer地址，正常无需手动配置
• 连接报错优先检查ServiceAccount的RBAC权限配置，90%以上的访问错误都是权限不足导致

内容的提问来源于stack exchange，提问作者Joe