ssl - 更改 Webhook 不会调用端点，因为证书由未知授权机构签名

Question

我正在开发 mutating webhook与 kind据我所知，API 端点应该是 https。 API服务器的证书和 key 应该由集群本身的CA签名，以绕过自签名证书的问题。为此，建议执行以下步骤:

1. 创建 key - openssl genrsa -out app.key 2048
2. 创建 CSR - openssl req -new -key app.key -subj "/CN=${CSR_NAME}"-out app.csr -config csr.conf
3. 在 kubernetes 中创建 CSR 对象 - kubectl create -f csr.yaml
4. 批准 CSR - kubectl certificate approve csr_name
5. 提取 PEM - kubectl get csr app.csr -o jsonpath='{.status.certificate}' | openssl base64 -d -A -out app.pem

注意事项
1. csr.conf 包含成功设置 CSR 的详细信息。
2. csr.yaml 是为 kuberenetes 类 CertificateSigningRequest 编写的。
3. csr_name在CertificateSigningRequest中定义。
4. csr.yaml中的spec.request设置为cat app.csr | base64 | tr -d '\n'。5. app.pem 和app.key 用于设置https 端点。

终点肯定是可达的，但错误如下:

Internal error occurred: failed calling webhook "com.me.webhooks.demo": Post https://webhook.sidecars.svc:443/mutate?timeout=10s: x509: certificate signed by unknown authority

如何解决证书由未知权威机构签署问题？

引用资料:
1. Writing a very basic kubernetes mutating admission webhook
2. Diving into Kubernetes MutatingAdmissionWebhook

Answer 1

它不需要使用集群的 CA 根进行签名。它只需要匹配 webhook 配置中的 CA 包。