Kubernetes容器中Node.js服务调用API服务器遇自签名证书链错误求助

我来帮你梳理并解决这个问题～你遇到的self signed certificate in certificate chain错误，核心原因是Node.js默认不会信任Kubernetes API服务器的自签名CA证书，而REST客户端通常会自动处理或者允许你手动导入证书，所以才会出现本地能用但容器里不行的情况。之前的socket连接错误大概率是Pod启动初期网络未就绪的小问题，先聚焦证书问题来解决：

方案1：在代码中加载Kubernetes自带的CA证书 #

Kubernetes会自动把集群的CA证书挂载到每个Pod的/var/run/secrets/kubernetes.io/serviceaccount/ca.crt路径下，你只需要在Node.js请求时指定使用这个证书即可。

用Axios的示例代码： #

const axios = require('axios');
const fs = require('fs');
const https = require('https');

// 读取Pod内的CA证书和服务账户token
const caCert = fs.readFileSync('/var/run/secrets/kubernetes.io/serviceaccount/ca.crt', 'utf8');
const serviceToken = fs.readFileSync('/var/run/secrets/kubernetes.io/serviceaccount/token', 'utf8');

// 配置httpsAgent使用CA证书
const httpsAgent = new https.Agent({ ca: caCert });

axios.get('https://kubernetes.default.svc.cluster.local/api/v1/namespaces', {
  headers: { Authorization: `Bearer ${serviceToken}` },
  httpsAgent
})
.then(res => console.log('请求成功：', res.data))
.catch(err => console.error('请求失败：', err));

用原生https模块的示例代码： #

const https = require('https');
const fs = require('fs');

const token = fs.readFileSync('/var/run/secrets/kubernetes.io/serviceaccount/token', 'utf8');
const caCert = fs.readFileSync('/var/run/secrets/kubernetes.io/serviceaccount/ca.crt', 'utf8');

const requestOptions = {
  hostname: 'kubernetes.default.svc.cluster.local',
  port: 443,
  path: '/api/v1/namespaces',
  method: 'GET',
  headers: { Authorization: `Bearer ${token}` },
  ca: caCert
};

const req = https.request(requestOptions, (res) => {
  let data = '';
  res.on('data', chunk => data += chunk);
  res.on('end', () => console.log('响应数据：', JSON.parse(data)));
});

req.on('error', err => console.error('请求出错：', err));
req.end();

方案2：临时禁用证书验证（仅测试环境可用） #

如果你只是在测试环境快速验证功能，可以通过设置Node.js的环境变量跳过证书检查，但生产环境绝对不能用这个方法，会带来严重的安全漏洞。

你可以在Deployment的容器配置里添加这个环境变量：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-node-service
spec:
  replicas: 1
  selector:
    matchLabels:
      app: your-node-app
  template:
    metadata:
      labels:
        app: your-node-app
    spec:
      containers:
      - name: node-container
        image: your-node-image:tag
        env:
        - name: NODE_TLS_REJECT_UNAUTHORIZED
          value: "0"

方案3：确认服务账户和挂载资源的正确性 #

虽然你说REST客户端能用，但还是建议检查Pod内的挂载情况，避免因配置问题导致的异常：

• 进入Pod内部执行ls /var/run/secrets/kubernetes.io/serviceaccount/，应该能看到ca.crt、token、namespace三个文件
• 用cat /var/run/secrets/kubernetes.io/serviceaccount/token查看token内容，确认和你REST客户端使用的一致
• 验证服务账户权限：执行kubectl auth can-i <你要调用的API操作> <资源路径> --as=system:serviceaccount:<你的命名空间>:<服务账户名>，比如kubectl auth can-i get namespaces --as=system:serviceaccount:default:default

另外，之前的socket连接错误可以尝试在Pod里pingkubernetes.default.svc.cluster.local，确认API服务器域名能正常解析和连通。

内容的提问来源于stack exchange，提问作者sri