3. 值班环境准备：kubectl安装与配置、kubeconfig文件管理、多集群上下文切换

值班人员的第一道防线是本地命令行环境。一个配置正确、上下文清晰的 kubectl 环境，能让你在故障响应时避免“敲错集群”或“权限不足”的尴尬。本节将围绕安装校验、kubeconfig 文件结构、多集群切换三个核心环节展开。

3.1 kubectl 安装与版本对齐

kubectl 的版本应与目标集群的 Kubernetes 版本保持 ±1 小版本 的兼容性。生产环境建议使用与集群相同的次版本号。

3.2 kubeconfig 文件结构与安全基线

kubeconfig 是 kubectl 的“导航地图”，默认路径为 ~/.kube/config。一个标准的 kubeconfig 包含三个核心段：clusters（集群端点与 CA 证书）、users（客户端证书/令牌/用户名密码）、contexts（集群+用户+命名空间的绑定关系）。

apiVersion: v1
kind: Config
current-context: prod-east
clusters:
- cluster:
    certificate-authority-data: LS0tLS1CRUdJTiBDRV...  # base64 编码的 CA 证书
    server: https://api.prod-east.example.com:6443
  name: prod-east
- cluster:
    certificate-authority-data: LS0tLS1CRUdJTiBDRV...
    server: https://api.staging.example.com:6443
  name: staging
users:
- name: sre-alice
  user:
    client-certificate-data: LS0tLS1CRUdJTiBDRV...
    client-key-data: LS0tLS1CRUdJTiBSU0...
- name: sre-bob
  user:
    : sha256~xxxxxxxxxxxxxxxxxxxxx
contexts:
- context:
    cluster: prod-east
    user: sre-alice
    namespace: production
  name: prod-east@sre-alice
- context:
    context:
    cluster: staging
    user: sre-bob
    namespace: staging
  name: staging@sre-bob

3.3 多集群上下文切换实战

值班人员通常需要同时管理 3~5 个集群（生产、预发、测试、灾备）。通过 kubectl config 子命令可以高效管理上下文。

3.4 多集群切换的常见陷阱与避坑

• 上下文污染： 在 A 集群执行 kubectl apply 后忘记切回 B 集群，导致资源部署到错误环境。解决方案：在 shell 提示符中显示当前上下文，或使用 kubectx 工具。
• 证书过期： 客户端证书或 CA 证书过期后，kubectl 会报 certificate has expired 错误。值班前应检查证书有效期：kubectl config view --raw -o jsonpath='{.users[0].user.client-certificate-data}' | base64 -d | openssl x509 -noout -dates。
• 命名空间遗忘： 切换上下文后，默认命名空间可能不是目标命名空间。使用 kubectl config set-context --current --namespace=production 固化默认值。
• 多文件冲突： 多个 kubeconfig 文件中存在同名 context 时，后加载的文件会覆盖前者。建议使用 kubectl config view --flatten 合并为单一文件。

3.5 值班环境自动化配置脚本

以下脚本可用于快速初始化值班环境，包含版本校验、证书检查、上下文验证三个步骤：

#!/bin/bash
# 值班环境初始化脚本 v1.0
set -euo pipefail

echo "=== 1. 检查 kubectl 版本 ==="
kubectl version --client --short

echo "=== 2. 检查 kubeconfig 证书有效期 ==="
for user in $(kubectl config view -o jsonpath='{.users[*].name}'); do
  cert_data=$(kubectl config view --raw -o jsonpath="{.users[?(@.name=='$user')].user.client-certificate-data}")
  if [ -n "$cert_data" ]; then
    echo "$cert_data" | base64 -d | openssl x509 -noout -dates -subject 2>/dev/null || echo "  [WARN] 无法解析证书: $user"
  fi
done

echo "=== 3. 验证所有上下文连通性 ==="
for ctx in $(kubectl config get-contexts -o name); do
  echo -n "  [$ctx] "
  kubectl --context="$ctx" cluster-info --request-timeout=3s 2>&1 | head -1 || echo "  [FAIL] 无法连接"
done

echo "=== 4. 当前上下文 ==="
kubectl config current-context

echo "=== 环境就绪 ==="