配置kubectl时需要客户端证书

Question

:)

我在本地Gentoo Linux集群上安装了kubenretes 1.9.3。

我正在尝试配置kubectl，如https://kubernetes.io/docs/getting-started-guides/scratch/

kubernetes文档声明使用$CLI_CERT和$CLI_KEY配置kubectl。到目前为止，我在文档中设置了$CA_CERT和$MASTER_KEY。不知道我还需要创建哪些证书。

文档声明使用$CLI_CERT和$CLI_KEY但是我找不到如何创建它们。

我使用了easyrsa来创建证书。

这些是我的文件：

./reqs/server.req
./issued/server.crt
./certs_by_serial/577957B555C21B8DC4B1641E97378EFF.pem
./index.txt.attr
./serial
./private
./private/ca.key
./private/server.key
./.rnd
./ca.crt

这是我设置的环境变量：

export MASTER_IP="192.168.1.3"
export MASTER_CLUSTER_IP="10.0.0.1"

export KUB_DIR="/opt/kubernetes"
export KEYS_DIR="${KUB_DIR}/keys"

export CA_CERT="${KEYS_DIR}/ca.crt"
export MASTER_CERT="${KEYS_DIR}/server.crt"
export MASTER_KEY="${KEYS_DIR}/server.key"

export USER=ufk
export USER_UID=1


export API_SERVER_DIR=${KUB_DIR}/kube-apiserver
export KNOWN_TOKENS_CSV=${API_SERVER_DIR}/known_tokens.csv

export CURRENT_USER=$(who am i | awk '{print $1}')

export CLUSTER_NAME="tux-in-cluster"
export CONTEXT_NAME="tux-in-context"
export CLI_CERT=
export CLI_KEY=

export RSA_BIN=/usr/share/easy-rsa/easyrsa

这就是我如何创建证书：

echo init pki...
$RSA_BIN init-pki

echo generate CA...
$RSA_BIN --batch "--req-cn=${MASTER_IP}@`date +%s`" build-ca nopass

echo Generate server certificate and key...
$RSA_BIN --subject-alt-name="IP:${MASTER_IP},"\
"IP:${MASTER_CLUSTER_IP},"\
"DNS:kubernetes,"\
"DNS:kubernetes.default,"\
"DNS:kubernetes.default.svc,"\
"DNS:kubernetes.default.svc.cluster,"\
"DNS:kubernetes.default.svc.cluster.local" \
--days=10000 \
build-server-full server nopass

我错过了什么？

Answer 1

文档声明使用$CLI_CERT和$CLI_KEY，但我找不到如何创建它们。

您将有一个“用户”运行kubectl命令来创建一个pod。该“用户”需要证明其是合法用户，可以访问API服务器，并拥有创建pod的适当授权。

您需要创建此用户（尤其是管理员）和客户端证书/密钥，以证明自己是由ca.crt签署证书的合法用户。

1. 例如，在设置CA和生成TLS证书页面中的管理客户端证书中创建管理证书

要配置其他用户，例如启动/停止/监视集群的操作员等，请查看Kubernetes集群中的configure RBAC，以设置适当的角色、用户和用户角色绑定。