使用kubectl连接Kubernetes集群时遭遇x509未知签发机构证书错误

看起来你碰到了kubectl连接K8s集群时超常见的证书信任坑——x509证书由未知机构签发的错误。从你贴的-v=9级别的调试日志能看出来：DNS解析、TCP连接都成功了，但TLS握手后证书验证没通过，毕竟集群API Server的证书大概率是自签名或者用私有CA签发的，你的本地kubectl根本不认这个CA。

咱一步步来解决这个问题：

1. 先检查kubeconfig配置是否靠谱 #

首先打开你的kubeconfig文件（路径是/Users/xiaoqiangjiang/.kube/config），找到对应集群的配置块：

• 看看是不是用了certificate-authority-data字段（这个是CA证书的base64编码），或者有没有配置certificate-authority指向本地的CA证书文件——如果是路径形式，得确认文件路径对不对、文件是不是真的存在且能读。
• 要是之前乱改配置，可能把CA证书的内容搞丢或者写错了，这时候就得修正。

2. 把集群CA证书导入本地信任库（推荐生产环境用） #

如果集群用的是私有CA签发的证书，最规范的做法是把CA证书加到本地系统的信任列表里：

步骤1：从kubeconfig导出CA证书

复制kubeconfig里certificate-authority-data字段的完整值，然后用下面的命令解码保存成证书文件：

echo "替换成你的certificate-authority-data值" | base64 -d > k8s-cluster-ca.crt

步骤2：导入到本地信任库

• macOS系统：

  sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain k8s-cluster-ca.crt
  

• Linux系统：

  sudo cp k8s-cluster-ca.crt /usr/local/share/ca-certificates/
  sudo update-ca-certificates
  

3. 临时跳过证书验证（仅测试用，生产绝对别用！） #

要是你只是临时想测试连接，不想折腾证书，可以用这个应急办法：

• 单条命令加参数：

  kubectl get nodes --insecure-skip-tls-verify=true
  

• 或者临时修改kubeconfig，给对应集群加个跳过验证的配置：

  clusters:
  - cluster:
      insecure-skip-tls-verify: true
      server: https://kubernetes.poemhub.top
    name: 你的集群名称
  

  记得测试完改回去，不然生产环境这么搞风险太大。

4. 重新获取正确的kubeconfig文件 #

如果你的kubeconfig是手动瞎改的，干脆直接从集群控制节点拿一份正经的：

• 登录到K8s控制节点，执行：

  kubectl config view --raw
  

• 把输出的内容完整复制到本地的~/.kube/config文件里，覆盖原来的内容，这样配置里的CA证书、集群地址、用户凭证都是正确的，大概率就能解决问题。

备注：内容来源于stack exchange，提问作者Dolphin