从私有仓库导入Python依赖导致Kubernetes上的docker buildx build执行失败

看起来你遇到的问题核心是终端与Python脚本的执行环境上下文不一致——当你直接在终端跑docker buildx build时，所有Kubernetes认证相关的配置都能正常读取，但用Python脚本调用时，这些配置缺失了；而只有引入私有Python依赖时才触发错误，是因为这时候buildx需要完整启动buildkit集群的bootstrap流程，而这个流程必须验证Kubernetes集群的访问权限，简单构建（无私有依赖）可能跳过了部分权限校验步骤。

下面是几个大概率的原因和对应的解决办法：

• 环境变量未正确继承
  终端的shell会自动加载你的环境变量（比如KUBECONFIG、集群认证令牌相关的变量），但Python脚本通过subprocess调用命令时，可能因为执行上下文不同（比如pod内的非交互式用户、脚本启动未加载shell配置），导致关键认证变量丢失。你可以先在脚本里打印环境变量排查：

  import os
  print("KUBECONFIG:", os.environ.get("KUBECONFIG"))
  print("HOME:", os.environ.get("HOME"))
  

  对比终端执行echo $KUBECONFIG和echo $HOME的结果，如果不一致，要么在脚本里手动设置变量，要么调用subprocess时显式传递完整环境：

  import subprocess
  subprocess.run(
      ["docker", "buildx", "build", "..."],
      env=os.environ,  # 继承脚本的所有环境变量
      check=True
  )
  

• Kubeconfig文件权限或路径错误
  docker buildx使用kube驱动时，会读取kubeconfig文件来访问Kubernetes集群。如果脚本运行的用户（比如pod里的root或服务账号用户）没有权限读取终端用户的kubeconfig，或者脚本的HOME变量不正确导致找不到~/.kube/config，就会触发认证失败。解决方式：

  • 在脚本里直接指定kubeconfig的绝对路径：

    import os
    os.environ["KUBECONFIG"] = "/path/to/your/kubeconfig"
    

  • 确保kubeconfig文件的权限设置为600（chmod 600 /path/to/kubeconfig），保证脚本运行用户有读取权限。

• Buildx实例配置不一致
  你在终端里可能已经配置了绑定特定kube驱动和集群上下文的buildx实例，但Python脚本执行时默认使用的是全新实例，没有正确的认证配置。可以在脚本里先切换到终端使用的实例：

  # 先在终端执行docker buildx ls查看你的实例名称
  subprocess.run(["docker", "buildx", "use", "your-instance-name"], check=True)
  # 再执行构建命令
  subprocess.run(["docker", "buildx", "build", "..."], check=True)
  

  或者直接在构建命令中指定--builder参数：

  docker buildx build --builder your-instance-name ...
  

• 私有依赖触发的buildkit资源权限校验
  当构建包含私有Python依赖的项目时，buildkit需要拉取外部资源，可能会启动更多集群资源（比如更大规格的buildkit pod），这时候如果脚本环境的服务账号权限足够启动基础buildkit，但无法申请更多资源？不过你终端能正常执行的话，这个可能性较低，但可以检查下pod的服务账号是否拥有创建、管理buildkit相关资源（pod、service等）的完整权限。

备注：内容来源于stack exchange，提问作者ultrapoci