使用kubectl proxy后执行kubectl exec报Unauthorized错误求助

这个问题我之前排查过好几次，大概率是kubectl proxy的权限配置或者RBAC权限不足导致的，咱们一步步来定位和解决：

1. 检查kubectl proxy的启动参数 #

默认情况下，kubectl proxy会启用请求过滤，阻止一些需要升级连接的操作（比如exec依赖的WebSocket连接）。你需要调整启动参数来允许这类请求：

先停止当前运行的proxy：

pkill -f kubectl proxy

如果是测试环境，可以直接关闭所有请求过滤重新启动：

kubectl proxy -p=8080 --kubeconfig=/directory_path/remote-kubeconfig --disable-filter &

如果是生产环境，建议更精准地指定允许的路径，避免过度开放：

kubectl proxy -p=8080 --kubeconfig=/directory_path/remote-kubeconfig --accept-paths='^/api/v1/namespaces/.*/pods/.*/exec' --accept-hosts='.*' &

2. 验证kubeconfig用户的pod exec权限 #

即使proxy配置正确，如果你的kubeconfig对应的用户没有pods/exec的RBAC权限，依然会返回Unauthorized。

先快速检查权限：

kubectl auth can-i create pods/exec --namespace=<namespace> --kubeconfig=/directory_path/remote-kubeconfig

如果返回no，需要给该用户绑定对应权限。先创建一个Namespace级的Role：

# pod-exec-role.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: <your-namespace>
  name: pod-exec-role
rules:
- apiGroups: [""]
  resources: ["pods/exec"]
  verbs: ["create"]

再绑定到你的用户（从kubeconfig的users[*].name里获取用户名）：

# pod-exec-binding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: pod-exec-binding
  namespace: <your-namespace>
subjects:
- kind: User
  name: <your-kubeconfig-username>
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-exec-role
  apiGroup: rbac.authorization.k8s.io

应用配置：

kubectl apply -f pod-exec-role.yaml -f pod-exec-binding.yaml --kubeconfig=/directory_path/remote-kubeconfig

3. 确认kubeconfig本身的有效性 #

有时候kubeconfig路径错误、证书过期或者token失效，都会导致认证失败。先测试基础功能是否正常：

kubectl get pods --namespace=<namespace> --kubeconfig=/directory_path/remote-kubeconfig

如果这个命令也报错，说明kubeconfig本身有问题，需要检查里面的server地址、认证凭据等信息是否正确。

4. 排查网络层面的WebSocket拦截 #

有些公司的防火墙或代理服务器会阻止WebSocket的升级请求（HTTP 101状态码）。你可以跳过proxy直接测试exec命令：

kubectl exec -it <pod> --namespace=<namespace> -c <container> -- ls -l --kubeconfig=/directory_path/remote-kubeconfig

如果这个命令能成功，说明问题出在proxy的网络或配置上；如果也失败，那大概率是RBAC权限或kubeconfig的问题。

内容的提问来源于stack exchange，提问作者user_2011