使用无法访问的群集IP的kubernetes api

Question

这很奇怪。我是不是在设置过程中漏掉了什么

master kubernetes-elasticsearch-cluster # kubectl get svc kubernetes
NAME         LABELS                                    SELECTOR   IP(S)        PORT(S)
kubernetes   component=apiserver,provider=kubernetes   <none>     10.100.0.1   8080/TCP

我似乎无法从集群上的任何地方到达10.100.0.1地址。但是，其他一些clusterIP地址可以从节点访问

master kubernetes-elasticsearch-cluster # kubectl get svc elasticsearch
NAME            LABELS                                SELECTOR                              IP(S)            PORT(S)
elasticsearch   component=elasticsearch,role=client   component=elasticsearch,role=client   10.100.213.223   9200/TCP

javax.ws.rs.ProcessingException: javax.net.ssl.SSLHandshakeException: SSLHandshakeException invoking https://10.100.0.1:8080/api/v1/namespaces/default/endpoints/elasticsearch-discovery: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

但是，如果我用另一个地址检查相同的路径，项将被重调

# curl http://10.1.141.41:8080/api/v1/namespaces/default/endpoints/elasticsearch-discovery
{
  "kind": "Endpoints",
  "apiVersion": "v1",
  "metadata": {
......

Answer 1

堆栈跟踪实际上表明您可以到达10.100.0.1，但是您的客户机无法验证Kubernetes Apiserver提供的证书。如果希望使用SSL连接，则应验证Kubernetes apiserver使用的证书在subject Alternative names字段中是否有10.100.0.1作为IP，或者可以使用服务的DNS名称（同样地，确保证书中列出了该名称）。