卷“kube-api- MountVolume.SetUp -fcz9j”的根失败:对象"default"/"kube-root-ca.crt“未注册

Question

我有一个预置的kubernetes集群v1.22.1 (1个主节点和2个工作节点)，并希望使用jenkins上的kubernetes插件在这个kubernetes集群上运行jenkins从代理。Jenkins目前托管在K8s集群之外，运行2.289.3。对于Jenkins Cloud中的Kubernetes凭证，我使用集群角色cluster-admin创建了新的服务帐户，并向Jenkins提供了令牌秘密文本。Jenkins和kubernetes之间的连接已经成功建立，但是当我在Kubernetes中运行jenkins作业来创建pods时，pods显示错误并且不在线。

下面是Kubernetes日志。

​

​

​

Jenkins日志

从安装在kubernetes集群之外的Jenkins master连接时有没有遇到过这样的问题？

Answer 1

我知道rootCAConfigMap会为默认服务帐号在每个命名空间中发布kube-root-ca.crt。从kubernetes1.22版本开始，RootCAConfigMap默认设置为true，因此在创建pods时，将使用此默认帐户的证书。请查找有关基于预计卷的绑定服务帐户令牌的更多信息- https://kubernetes.io/docs/reference/access-authn-authz/service-accounts-admin/

若要停止使用默认服务帐号或已用于创建pods的特定服务帐号创建自动卷，只需在serviceaccount config下将"automountServiceAccountToken“设置为"false”，这将允许jenkins在Kubernetes集群上创建从pods。我已经在我的on premise集群中成功测试了这一点。

Answer 2

根据您的pod规范，您可以添加automountServiceAccountToken: false。如上所述，here

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  serviceAccountName: build-robot
  automountServiceAccountToken: false
  ...