4. kubeconfig 文件解析：集群、用户、上下文配置、证书嵌入、多集群切换

kubeconfig 是 Kubernetes 控制面授权的“钥匙串”。无论是 kubectl、自动化 CI/CD 工具还是自定义控制器，都通过 kubeconfig 文件来定位集群、选择身份并建立安全连接。本章将拆解 kubeconfig 的结构，并演示如何安全地管理多集群上下文。

4.1 kubeconfig 文件结构总览

一个标准的 kubeconfig 文件包含三个核心顶层字段：clusters、users、contexts，以及一个用于指定当前上下文的 current-context。以下是一个典型的 YAML 结构示例：

apiVersion: v1
kind: Config
preferences: {}

clusters:
- cluster:
    certificate-authority-data: LS0tLS1CRUdJTiBDRV...  # base64 编码的 CA 证书
    server: https://192.168.1.100:6443
  name: production-cluster

users:
- name: admin-user
  user:
    client-certificate-data: LS0tLS1CRUdJTiBDRV...  # base64 编码的客户端证书
    client-key-data: LS0tLS1CRUdJTiBSU0EgUF...     # base64 编码的客户端私钥

contexts:
- context:
    cluster: production-cluster
    user: admin-user
    namespace: default
  name: prod-admin

current-context: prod-admin

4.2 三大核心组件解析

4.3 证书嵌入方式：内联 vs 文件引用

kubeconfig 支持两种证书引用方式，各有适用场景：

• 内联嵌入（data 后缀）：证书和密钥以 base64 编码直接写入 YAML 文件。优点是单文件便携；缺点是文件体积增大，密钥泄露风险集中。
• 文件引用（path 后缀）：使用 certificate-authority、client-certificate、client-key 字段指定本地文件路径。优点是密钥可独立管理，适合共享 kubeconfig 但各自持有私钥的场景。

# 文件引用方式示例
users:
- name: dev-user
  user:
    client-certificate: /home/user/.certs/dev-client.crt
    client-key: /home/user/.certs/dev-client.key

4.4 多集群切换机制

kubeconfig 通过 current-context 字段实现快速切换。以下命令演示了如何管理多个集群：

# 查看当前配置的所有上下文
kubectl config get-contexts

# 切换到 staging 环境
kubectl config use-context staging-admin

# 查看当前使用的上下文
kubectl config current-context

# 合并多个 kubeconfig 文件
export KUBECONFIG=~/.kube/config:~/.kube/staging-config:~/.kube/prod-config
kubectl config view --flatten > ~/.kube/merged-config

下图展示了多集群切换时 kubeconfig 内部的数据流向：

4.5 多集群配置合并与优先级

当同时管理多个集群时，推荐使用 KUBECONFIG 环境变量合并配置。合并规则如下：

• 合并顺序：环境变量中列出的文件按从左到右顺序合并，后出现的文件覆盖前者的同名条目。
• 上下文合并：同名上下文以后出现的文件为准。
• current-context：取最后一个文件中定义的 current-context。

4.6 安全加固清单