VSTS中K8s流水线如何获取服务连接对应的kube config？

我之前在Azure DevOps（原VSTS）里搞K8s流水线的时候也碰到过一模一样的问题，给你几个实际可行的解决思路，亲测有效：

这个方法不需要你自己处理任何认证逻辑，完全依赖Azure DevOps的内置任务来搞定kubeconfig的注入，是我最推荐的方式：

1. 在你的NodeJS测试任务之前，添加一个「Kubernetes」任务（选最新的Kubernetes@2或者稳定版Kubernetes@1都可以）
2. 配置这个任务：
   • 服务连接：选择对应环境的K8s服务连接（可以用流水线变量动态切换，比如定义一个env变量，服务连接名设为$(env)-kube-connection，这样预发布和生产环境只要改变量值就行）
   • 命令：选「None」或者随便填一个不影响的命令（比如config view），其实只要这个任务运行，它就会自动把服务连接的kubeconfig写入到环境变量KUBECONFIG里，同时处理好证书、token这些认证细节
3. 你的NodeJS测试脚本直接用kubernetes-client的默认加载逻辑就行，不需要手动传kubeconfig：

   const k8s = require('kubernetes-client');
   
   // 自动读取KUBECONFIG环境变量里的配置，内置任务已经帮你搞定了认证
   const client = new k8s.KubeConfig();
   client.loadFromDefault();
   
   // 接下来就可以写测试逻辑了，比如验证服务是否存在
   async function testDeployment() {
     const api = client.makeApiClient(k8s.CoreV1Api);
     const res = await api.readNamespacedService('你的服务名', '你的命名空间');
     console.log('服务状态:', res.body.status);
     // 这里可以加断言判断服务是否正常
   }
   
   testDeployment().catch(err => {
     console.error('测试失败:', err);
     process.exit(1);
   });
   

如果你一定要自己在脚本里处理，可以用vsts-task-lib读取服务连接的各个参数，然后手动组装成合法的kubeconfig。注意不同类型的K8s服务连接（比如AKS、自定义集群）的参数名可能不一样，你可以先打印所有参数看看：

const tl = require('vsts-task-lib/task');
const fs = require('fs');
const k8s = require('kubernetes-client');

async function buildKubeConfig(endpointName) {
  // 获取服务连接的所有授权参数，先打印出来看看具体有哪些字段
  const auth = tl.getEndpointAuthorization(endpointName, false);
  console.log('服务连接授权参数:', auth);

  // 读取核心参数（根据你的服务连接类型调整字段名）
  const serverUrl = tl.getEndpointUrl(endpointName, false);
  const caCert = tl.getEndpointAuthorizationParameter(endpointName, 'caCertificate', false);
  const token = tl.getEndpointAuthorizationParameter(endpointName, 'serviceAccountToken', false);

  // 组装成标准kubeconfig格式
  const kubeconfig = {
    apiVersion: 'v1',
    kind: 'Config',
    clusters: [
      {
        name: 'cluster',
        cluster: {
          server: serverUrl,
          'certificate-authority-data': caCert
        }
      }
    ],
    users: [
      {
        name: 'user',
        user: {
          token: token
        }
      }
    ],
    contexts: [
      {
        name: 'context',
        context: {
          cluster: 'cluster',
          user: 'user',
          namespace: '你的命名空间' // 可选，根据你的测试需求填
        }
      }
    ],
    current-context: 'context'
  };

  // 写入临时文件，让kubernetes-client读取
  const tempPath = `${tl.getVariable('Agent.TempDirectory')}/kubeconfig`;
  fs.writeFileSync(tempPath, JSON.stringify(kubeconfig));
  process.env.KUBECONFIG = tempPath;

  return tempPath;
}

// 使用示例
buildKubeConfig('你的服务连接名称').then(() => {
  const client = new k8s.KubeConfig();
  client.loadFromDefault();
  // 执行测试逻辑
}).catch(err => {
  console.error('构建kubeconfig失败:', err);
  process.exit(1);
});

如果上面两种方法都不符合你的需求，还可以把不同环境的kubeconfig加密后存在Azure DevOps的变量组里：

• 把预发布和生产的kubeconfig分别加密成变量（变量组里的变量默认是加密存储的，不会泄露明文）
• 在流水线里根据环境变量选择读取对应的kubeconfig变量
• 把变量值写入临时文件，然后设置KUBECONFIG环境变量供测试脚本使用

不过这个方法需要手动维护kubeconfig，不如第一个方法灵活，适合一些特殊场景。

内容的提问来源于stack exchange，提问作者user2847238