如何通过API或其他方式交互式连接Kubernetes Pod的终端

以下是几种常用的可落地实现路径：

1. 原生kubectl工具（最常用） #

这是日常操作中最高效的方式，直接通过kubectl调用API server的exec能力实现交互式连接，命令格式如下：

kubectl exec -it <目标Pod名称> -n <Pod所在命名空间> -- /bin/bash

• 参数说明：-i绑定标准输入，-t分配TTY终端，末尾的/bin/bash是要启动的shell程序，部分精简镜像没有bash可以替换为/bin/sh

2. 直接调用Kubernetes原生API #

如果需要在自研系统中集成终端连接能力，可以直接调用K8s提供的exec子资源API，操作要求和步骤如下：

• 前置要求：你需要持有集群的合法访问凭证（token/客户端证书），并且对应凭证的RBAC权限允许对目标Pod执行pods/exec资源的create操作
• API请求采用WebSocket协议（满足全双工交互式传输要求），请求地址格式为：

wss://<API-Server地址>/api/v1/namespaces/<命名空间>/pods/<Pod名称>/exec?command=/bin/bash&stdin=true&stdout=true&stderr=true&tty=true

• 请求必须携带的头信息：
  • Authorization: Bearer <你的访问token>
  • Upgrade: websocket
  • Connection: Upgrade
    可以用wscat工具快速测试连通性，示例命令：

wscat -c "wss://192.168.1.10:6443/api/v1/namespaces/default/pods/nginx-78f654b7c9-2xqzk/exec?command=/bin/bash&stdin=true&stdout=true&stderr=true&tty=true" -H "Authorization: Bearer eyJhbGciOiJSUzI1NiIsImtpZCI6..." --no-check-certificate

3. 其他替代方案 #

• SSH连接：如果Pod内部已经部署了sshd服务，并且你已经通过Service把Pod的22端口对外暴露，直接用标准SSH协议连接即可：ssh root@<Service对外IP> -p <暴露的端口号>
• 运维面板集成：Kubernetes Dashboard、Rancher、KubeSphere等常见的K8s运维面板都自带网页终端功能，本质是封装了上述WebSocket API的调用逻辑，前端用xterm.js之类的组件渲染终端界面，不需要手动处理底层请求。

注意事项：生产环境不要跳过API Server的证书校验，避免凭证泄露风险；所有连接操作都需要对应权限，权限不足会返回403错误。

内容的提问来源于stack exchange，提问作者znyr sam