K8s服务下容器网络请求报错x509: certificate signed by unknown authority原因问询

故障根因 #

x509: certificate signed by unknown authority错误的核心原因是发起请求的容器内部信任的根CA证书列表中，不存在对端第三方API证书链对应的根CA证书，无法完成证书合法性校验。针对Docker Desktop管理的本地K8s场景，常见触发原因如下：

• 容器镜像本身未预装公共根证书包：使用alpine、distroless等精简镜像时，默认不会内置ca-certificates这类公共根证书集合包，无法识别公网正规CA签发的HTTPS接口证书。
• 第三方API使用非公共信任的证书：如果第三方API用的是自签名证书、企业私有CA签发的证书，这类证书默认不在公共根证书信任列表中，就算容器装了公共CA包也无法校验通过。
• 未配置集群/节点级证书同步：Docker Desktop的K8s节点默认不会自动将本地宿主机的信任根证书同步到集群内的容器运行时中，宿主机能正常访问的接口，容器内会出现校验失败。
• 部署配置未挂载信任证书：即使已经拿到需要信任的CA证书，要是Deployment工作负载的配置中没有通过ConfigMap/Secret将证书挂载到容器的系统根证书目录（如/etc/ssl/certs/、/usr/local/share/ca-certificates/），容器运行时依然无法读取到对应的信任证书。
• 应用自定义证书逻辑异常：部分语言开发的应用（如Go、Java）会优先使用自身配置的信任证书库，而非读取操作系统的根证书列表，要是应用侧未配置对应的信任CA，就算系统层面已经导入证书也会报错。

内容的提问来源于stack exchange，提问作者some_id