EKS集群认证错误：You must be logged in to the server

问题描述

当尝试通过kubectl连接AWS EKS集群时，您可能遇到以下错误提示：

couldn't get current server API group list: the server has asked for the client to provide credentials
error: You must be logged in to the server (the server has asked for the client to provide credentials)

尽管您已通过aws configure设置了凭证，IAM用户也有相关EKS策略，该错误仍会发生。该问题的核心在于身份认证失败，即kubernetes API服务器无法验证您的AWS凭证或其缺少足够的集群访问权限。

关键错误特征

• kubectl命令返回凭证相关错误
• 错误信息明确提示You must be logged in to the server
• 通常伴随API group list获取失败

解决方案

1. 配置EKS访问入口（AWS Console/CLI）

当前AWS EKS采用新的访问控制机制（Access Entry）。若您的IAM用户未在集群内注册访问身份，即使有IAM权限也会被拒绝访问。

通过AWS管理台配置：

1. 打开EKS控制台 → 选择目标集群
2. 进入「访问」选项卡 → 「访问条目」
3. 点击「添加访问条目」
4. 输入您的IAM用户ARN（如：arn:aws:iam::111122223333:user/your-username）
5. 关联访问策略（如AmazonEKSAdminPolicy或AmazonEKSClusterAdminPolicy）

通过AWS CLI配置：

aws eks create-access-entry \
    --cluster-name your-cluster-name \
    --principal-arn arn:aws:iam::111122223333:user/your-username

策略关联注意事项

对于生产环境，最小权限原则至关重要：

• AmazonEKSAdminViewPolicy：仅查看权限
• AmazonEKSAdminPolicy：管理权限（非集群基础设施）
• AmazonEKSClusterAdminPolicy：完全集群控制权（谨慎使用）

2. 验证并修复AWS凭证配置

检查凭证有效性

# 验证当前凭证身份
aws sts get-caller-identity

# 列出所有配置
aws configure list

若返回的凭证信息与集群创建账户不同步，需重新配置：

更新凭证文件

编辑~/.aws/credentials：

# 移除过期的session_token
[default]
aws_access_key_id = AKIA***
aws_secret_access_key = ****
# aws_session_token =   # 注释或删除已失效的token

重启终端

修改配置文件后必须重启终端会话确保环境变量更新

3. 更新集群kubeconfig配置

当凭证变更后需同步更新kubeconfig：

aws eks update-kubeconfig \
    --name your-cluster-name \
    --region us-west-2

验证连接状态：

kubectl get nodes

4. 检查冲突的环境变量

临时设置的环境变量会覆盖配置文件：

# 检查冲突变量
env | grep AWS_

# 清除干扰变量
unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY

5. API端点访问配置

当使用私有VPC时确保API端点可达：

Terraform配置示例：

module "eks" {
  source  = "terraform-aws-modules/eks/aws"
  version = "~> 19.0"
  
  cluster_endpoint_public_access = true  # 开启公共访问
}

安全提示

生产环境建议使用cluster_endpoint_public_access_cidrs限制访问IP范围

6. 检查集群创建一致性

确保操作账户与集群创建账户相同：

# 创建集群的账户ID可在EC2控制台查看Node实例
created_by=$(aws ec2 describe-instances | jq -r '.Reservations[0].OwnerId')

# 当前操作账户
current_account=$(aws sts get-caller-identity --query Account --output text)

# 不一致需添加访问条目
if [ "$created_by" != "$current_account" ]; then
  aws eks create-access-entry --cluster-name $CLUSTER --principal-arn arn:aws:iam::$current_account:[user|role]/$IDENTITY
fi

总结步骤

常见解决优先级：

1. ✅ 验证AWS账号一致性（aws sts get-caller-identity）
2. ✅ 创建EKS访问条目（首要步骤）
3. ✅ 更新kubeconfig配置（aws eks update-kubeconfig）
4. ✅ 清除冲突环境变量/过期session token

根据AWS官方文档，90%的You must be logged in错误源于访问入口缺失（2023年11月后创建的EKS集群默认启用该机制）。

解决后可通过以下命令验证：

kubectl auth can-i get pods --all-namespaces