Kubernetes Dashboard安装与配置详细图文教程

如何通过NodePort方式从浏览器直接访问Dashboard？

最直接的解决方案是修改recommended.yaml配置文件中的Service定义部分。你需要将type: ClusterIP更改为type: NodePort，并建议指定一个静态的节点端口，例如31313。

• 使用文本编辑器打开你的YAML文件，找到kind: Service下方的spec配置段，确保其包含类似以下的配置：

  ports:
  - port: 443
    targetPort: 8443
    nodePort: 31313
  type: NodePort

• 请注意一个重要细节：nodePort的取值范围必须是30000–32767。如果你指定了一个小于30000的端口号，部署时会收到类似error validating data: ValidationError(Service.spec.ports[0]): invalid type for io.k8s.api.core.v1.ServicePort.nodePort的验证错误。
• 如果应用配置时提示Bind failed on port 31313，说明宿主机上的该端口已被其他进程占用，只需更换一个未被使用的端口即可。
• 修改完成后，保存文件并重新运行kubectl apply -f recommended.yaml命令。无需担心旧的资源，apply命令会自动识别并更新变更。

Token登录失败的三个常见原因及解决方法

成功访问Dashboard登录页面后，粘贴Token却遇到Unauthorized（未授权）或Forbidden（禁止访问）错误？这通常是由于权限配置或Token本身的问题导致的。

• 原因一：缺少集群角色绑定（ClusterRoleBinding）。 仅执行kubectl create serviceaccount dashboard-admin-sa创建服务账户是不够的。必须完成关键的一步：使用kubectl create clusterrolebinding dashboard-admin-sa --clusterrole=cluster-admin --serviceaccount=default:dashboard-admin-sa命令，将cluster-admin这个集群管理员角色绑定到你创建的服务账户上。
• 原因二：使用的Token已过期。 通过kubectl create token命令生成的Token默认有效期仅为1小时，极易过期。对于需要长期登录管理的场景，建议创建Secret类型的永久Token，或者使用kubeadm token create --ttl 0命令生成一个不过期的Token。
• 原因三：创建Token时指定的命名空间错误。 运行kubectl create token命令时，必须使用-n kubernetes-dashboard参数明确指定Dashboard服务账户所在的命名空间，而不是默认的default命名空间。否则生成的Token将不具备访问Dashboard后端API的权限。

使用Port-forward进行临时安全调试（不适用于生产环境）

在开发、测试或临时排查问题阶段，更推荐使用kubectl port-forward命令。这种方式无需修改YAML文件暴露节点端口，安全性更高。

• 命令格式非常简单：kubectl -n kubernetes-dashboard port-forward svc/kubernetes-dashboard 8443:443。
• 执行后，在浏览器中访问https://localhost:8443，并根据提示接受自签名证书的安全警告即可。
• 需要注意的是，该命令默认在前台运行，关闭终端会话会导致端口转发连接中断。虽然可以通过添加&符号放到后台运行，但该进程可能随Shell会话结束而终止。
• 因此，必须明确：端口转发方式绝对不要用于生产环境。因为它依赖于本地的kubectl工具与集群API Server保持长连接，一旦网络中断、kubectl进程退出或kubeconfig文件权限变更，访问将立即失效。

总而言之，在Linux上成功部署并稳定运行Kubernetes Dashboard，其挑战往往不在于安装步骤本身，而在于对Kubernetes基础环境和配置依赖的全面理解。每一个环节都紧密关联：容器运行时（如Docker）的cgroup driver是否与kubelet配置一致、必要的内核参数（sysctl）是否已生效、节点主机名（hostname）是否符合命名规范、集群节点间的网络解析（/etc/hosts或DNS）是否畅通。忽略其中任何一环，都可能导致Dashboard页面卡在“Loading…”状态，或陷入登录重定向循环。因此，在应用YAML配置文件之前，花时间确保kubectl get nodes显示所有节点状态为Ready，并且kubectl get pods -A检查核心组件运行正常，这比急于安装更能从根本上提升成功率，节省大量故障排查时间。