关于kubernetes:k8scert

Kubernetes 集群都有一个集群根证书颁发机构（CA) — 验证 API server 证书 — 验证 kubelet 客户端证书

CA 证书包被散发到集群中的每个节点 -- 作为一个 secret 附加散发到默认 service account

让 Pod 中运行的应用程序信赖集群根 CA 通常须要一些额定的应用程序配置：CA 证书包 -- TLS 客户端或服务器信赖的 CA 证书列表


=====install cfssl=====

wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
chmod +x cfssl_linux-amd64
mv cfssl_linux-amd64 /usr/local/bin/cfssl

wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
chmod +x cfssljson_linux-amd64
mv cfssljson_linux-amd64 /usr/local/bin/cfssljson

wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod +x cfssl-certinfo_linux-amd64
mv cfssl-certinfo_linux-amd64 /usr/local/bin/cfssl-certinfo


=====create CA=====
mkdir /root/ssl
cd /root/ssl
cfssl print-defaults config > config.json
cfssl print-defaults csr > csr.json
# 依据 config.json 文件的格局创立如下的 ca-config.json 文件
# 过期工夫设置成了 87600h

cat > ca-config.json <<EOF
{
  "signing": {
    "default": {"expiry": "87600h"},
    "profiles": {
      "kubernetes": {
        "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ],
        "expiry": "87600h"
      }
    }
  }
}
EOF

创立 ca-csr.json 文件
vi ca-csr.json
<code>
{
  "CN": "kubernetes",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "BeiJing",
      "L": "BeiJing",
      "O": "k8s",
      "OU": "System"
    }
  ],
    "ca": {"expiry": "87600h"}
}
</code>

生成 CA 证书和私钥
cfssl gencert -initca ca-csr.json | cfssljson -bare ca
ls -lt ca*
-rw-r--r--. 1 root root 1001 4 月 15 12:00 ca.csr
-rw-------. 1 root root 1675 4 月 15 12:00 ca-key.pem
-rw-r--r--. 1 root root 1359 4 月 15 12:00 ca.pem


创立 kubernetes 证书

vi kubernetes-csr.json
<code>
{
    "CN": "kubernetes",
    "hosts": [
      "127.0.0.1",
      "192.168.1.193",
      "192.168.1.194",
      "192.168.1.195",
      "10.254.0.1",
      "kubernetes",
      "kubernetes.default",
      "kubernetes.default.svc",
      "kubernetes.default.svc.cluster",
      "kubernetes.default.svc.cluster.local"
    ],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "ST": "BeiJing",
            "L": "BeiJing",
            "O": "k8s",
            "OU": "System"
        }
    ]
}
</code>

如果 hosts 字段不为空则须要指定受权应用该证书的 IP 或域名列表，因为该证书后续被 etcd 集群和 kubernetes master 集群应用，所以下面别离指定了 etcd 集群、kubernetes master 集群的主机 IP 和 kubernetes 服务的服务 IP（个别是 kube-apiserver 指定的 service-cluster-ip-range 网段的第一个 IP，如 10.254.0.1）cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kubernetes-csr.json | cfssljson -bare kubernetes

ll kubernetes*
-rw-r--r--. 1 root root 1261 4 月 15 15:24 kubernetes.csr
-rw-r--r--. 1 root root 560 4 月 15 15:24 kubernetes-csr.json
-rw-------. 1 root root 1679 4 月 15 15:24 kubernetes-key.pem
-rw-r--r--. 1 root root 1627 4 月 15 15:24 kubernetes.pem



创立 admin-csr.json 证书

这个 admin 证书，是未来生成管理员用的 kube config 配置文件用的，当初咱们个别倡议应用 RBAC 来对 kubernetes 进行角色权限管制，kubernetes 将证书中的 CN 字段 作为 User，O 字段作为 Group（具体参考 Kubernetes 中的用户与身份认证受权中 X509 Client Certs 一段）。vi admin-csr.json
<code>
{
  "CN": "admin",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "BeiJing",
      "L": "BeiJing",
      "O": "system:masters",
      "OU": "System"
    }
  ]
}
</code>

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes admin-csr.json | cfssljson -bare admin

ll admin*
-rw-r--r--. 1 root root 1009 4 月 15 17:23 admin.csr
-rw-r--r--. 1 root root 229 4 月 15 17:10 admin-csr.json
-rw-------. 1 root root 1679 4 月 15 17:23 admin-key.pem
-rw-r--r--. 1 root root 1399 4 月 15 17:23 admin.pem


创立 kube-proxy 证书
vi kube-proxy-csr.json
<code>
{
  "CN": "system:kube-proxy",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "BeiJing",
      "L": "BeiJing",
      "O": "k8s",
      "OU": "System"
    }
  ]
}
</code>

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kube-proxy-csr.json | cfssljson -bare kube-proxy



======== 校验证书 =========

应用 openssl 命令

openssl x509 -noout -text -in kubernetes.pem


应用 cfssl-certinfo 命令

cfssl-certinfo -cert kubernetes.pem


散发证书

mkdir -p /etc/kubernetes/ssl
cp *.pem /etc/kubernetes/ssl


散发证书给节点
mkdir -p /etc/kubernetes/ssl
scp *.pem root@192.168.1.194:/etc/kubernetes/ssl/
scp *.pem root@192.168.1.195:/etc/kubernetes/ssl/