能否仅通过ServiceAccount Token认证kubectl连接GKE集群？

是的，完全可以仅通过ServiceAccount Token完成GKE集群的认证连接，不需要依赖gcloud工具。你遇到的The connection to the server localhost:8080 was refused错误，本质是因为kubectl默认尝试连接本地集群，而你没有正确配置GKE集群的远程API服务器地址及相关认证信息。

下面是一步一步的正确操作流程：

1. 获取GKE集群的核心连接信息 #

你需要先拿到GKE集群的API服务器地址和集群CA证书：

• API服务器地址：可以从GCP控制台的集群详情页找到，或者临时用一次gcloud的话，执行：

  gcloud container clusters describe [你的集群名称] --zone [集群所在区域] --format="value(endpoint)"
  

• CA证书：同样从控制台集群详情页的"集群CA证书"处复制，或者用gcloud命令导出：

  gcloud container clusters describe [你的集群名称] --zone [集群所在区域] --format="value(masterAuth.clusterCaCertificate)" > ca.crt
  

  把证书内容保存到本地的ca.crt文件中备用。

2. 准备有效的ServiceAccount Token #

你需要在GKE集群中创建一个具备对应权限的ServiceAccount，并获取它的认证Token：

• 创建ServiceAccount：

  kubectl create serviceaccount my-gke-auth-sa
  

• 为ServiceAccount绑定必要的集群角色（比如cluster-admin，根据实际权限需求调整）：

  kubectl create clusterrolebinding my-gke-auth-sa-binding --clusterrole=cluster-admin --serviceaccount=default:my-gke-auth-sa
  

• 获取关联的Secret名称：

  kubectl get secrets | grep my-gke-auth-sa
  

• 提取明文Token：

  kubectl get secret [上面查到的Secret名称] -o jsonpath='{.data.token}' | base64 -d
  

  把输出的字符串保存下来，这就是你的ServiceAccount Token。

3. 手动配置kubectl上下文 #

现在用kubectl命令手动配置集群、用户和上下文，完全脱离gcloud：

• 添加集群配置：

  kubectl config set-cluster my-gke-cluster --server=https://[你的API服务器地址] --certificate-authority=./ca.crt
  

• 添加ServiceAccount用户：

  kubectl config set-credentials my-gke-auth-user --token=[你的ServiceAccount Token]
  

• 创建并绑定上下文：

  kubectl config set-context my-gke-context --cluster=my-gke-cluster --user=my-gke-auth-user
  

• 切换到新上下文：

  kubectl config use-context my-gke-context
  

验证连接 #

执行kubectl get nodes，如果能正常返回集群节点列表，说明配置成功了。

关键注意事项 #

• 权限匹配：确保你的ServiceAccount绑定了足够的角色，否则会出现权限不足的错误（而非连接错误）。
• Token有效期：GKE默认的ServiceAccount Token是短期的（通常1小时），如果需要长期使用，建议通过Workload Identity或者创建长期Token的方式处理。
• 无gcloud替代：如果完全不想用gcloud，所有集群信息（API地址、CA证书）都可以直接从GCP控制台获取，不需要依赖gcloud工具。

内容的提问来源于stack exchange，提问作者yellowarchangel