如何将client-go InClusterConfig返回的rest.Config导出为标准kubeconfig文件

实现代码 #

你需要实现createKubeConfig方法完成rest.Config到api.Config的转换，完整可运行的代码示例如下：

package main

import (
	"os"
	"io/ioutil"
	"k8s.io/client-go/rest"
	"k8s.io/client-go/tools/clientcmd"
	"k8s.io/client-go/tools/clientcmd/api"
)

func createKubeConfig(restConfig *rest.Config) (*api.Config, error) {
	// 读取集群内默认的namespace
	nsBytes, err := os.ReadFile("/var/run/secrets/kubernetes.io/serviceaccount/namespace")
	if err != nil {
		nsBytes = []byte("default")
	}
	namespace := string(nsBytes)

	// 定义集群配置
	cluster := api.NewCluster()
	cluster.Server = restConfig.Host
	cluster.CertificateAuthorityData = restConfig.CAData

	// 定义用户认证配置（ServiceAccount Token）
	authInfo := api.NewAuthInfo()
	authInfo.Token = restConfig.BearerToken

	// 定义上下文
	context := api.NewContext()
	context.Cluster = "in-cluster"
	context.AuthInfo = "sa-user"
	context.Namespace = namespace

	// 组装kubeconfig结构
	kubeConfig := api.NewConfig()
	kubeConfig.Clusters["in-cluster"] = cluster
	kubeConfig.AuthInfos["sa-user"] = authInfo
	kubeConfig.Contexts["in-cluster-ctx"] = context
	kubeConfig.CurrentContext = "in-cluster-ctx"

	return kubeConfig, nil
}

// 业务逻辑示例
func main() {
	clusterConfig, err := rest.InClusterConfig()
	if err != nil {
		panic(err.Error())
	}
	tempFile, err := ioutil.TempFile(os.TempDir(), "kubeconfig-")
	if err != nil {
		panic(err.Error())
	}
	defer tempFile.Close()
	// 转换配置
	kubeConfig, err := createKubeConfig(clusterConfig)
	if err != nil {
		panic(err.Error())
	}
	// 写入文件，设置文件权限为0600防止凭证泄露
	if err := clientcmd.WriteToFile(*kubeConfig, tempFile.Name()); err != nil {
		panic(err.Error())
	}
	if err := os.Chmod(tempFile.Name(), 0600); err != nil {
		panic(err.Error())
	}
	// 后续可将 tempFile.Name() 作为kubeconfig参数传入Tekton cli等工具
}

多Config类型的区别 #

Kubernetes生态中的两类Config是不同层面的抽象：

• rest.Config是client-go底层HTTP客户端的通信配置，只包含和APIServer交互必须的服务器地址、认证凭证、TLS配置等参数，面向内部调用逻辑设计，不支持多环境切换。
• clientcmd/api.Config是kubeconfig配置文件的结构化映射，支持多集群、多认证信息、多上下文的管理，面向命令行工具、多环境切换的场景设计，因此会比rest.Config多很多层级结构。

注意事项 #

• 生成的kubeconfig文件包含当前Pod绑定的ServiceAccount的认证凭证，一定要设置0600的文件权限，避免被容器内其他进程读取泄露。
• 使用完kubeconfig后建议主动删除临时文件，降低凭证泄露风险。
• 如果当前Pod绑定的ServiceAccount权限较高，要严格控制生成的kubeconfig的使用范围，避免权限滥用。

内容的提问来源于stack exchange，提问作者Chris G.