ssl - 如何使用来自工作节点的证书以用户身份运行远程代码

Question

我在Master中创建了一个用户。
首先我为他创建了一个 key 和证书:dan.key 和 dan.crt

然后我在 Kubernetes 中创建了它:

 kubectl config set-credentials dan \ 
 --client-certificate=/tmp/dan.crt \
 --client-key=/tmp/dan.key 

这是 ~/.kube/config:

users:
- name: dan
  user:
    as-user-extra: {}
    client-certificate: /tmp/dan.crt
    client-key: /tmp/dan.key 

我希望能够以我创建的用户身份从远程工作人员运行命令。
我知道如何使用服务帐户 token 来做到这一点:

kubectl --server=https://192.168.0.13:6443 --insecure-skip-tls-verify=true --token="<service_account_token>" get pods

我将证书和 key 复制到远程 worker 并运行:

[workernode tmp]$ kubectl --server=https://192.168.0.13:6443 --client-certificate=/tmp/dan.crt --client-key=/tmp/dan.key get pods
Unable to connect to the server: x509: certificate signed by unknown authority

我关注了这个问题:
kubectl unable to connect to server: x509: certificate signed by unknown authority
我试过像他写的那样:

kubectl proxy --address 0.0.0.0 --accept-hosts '.*'

但我仍然收到:
无法连接到服务器:x509:由未知授权机构签名的证书

Answer 1

I copied the certifiacte and the key to the remote worker and ran:

[workernode tmp]$ kubectl --server=https://192.168.0.13:6443 --client-certificate=/tmp/dan.crt --client-key=/tmp/dan.key get pods

Unable to connect to the server: x509: certificate signed by unknown authority

您错过了告诉 kubectl 如何信任该请求的 https: 部分的关键数据，即 --certificate-authority=/path/to/kubernetes/ca.pem

您在使用 --token=... 时没有遇到该错误，因为您应该使用 --insecure-skip-tls-verify=true绝对，绝对不做。

---

I tried like he wrote:

kubectl proxy --address 0.0.0.0 --accept-hosts '.*'

But I am still receiving:

无论您阅读的是什么文章，您都听从了错误的建议； --accept-hosts 标志仅控制 kubectl proxy 将从中接受连接的远程主机名，并且与 SSL 无关。