kubernetes - 未知权威签署的 x509 证书 - kubeadm

Question

我搜索了预览帖子，但我找不到解决方案，对不起。

我在 kubeadm v1.12 上安装了指标服务器，我从日志中得到了这个错误:

1个主节点和1个从节点，在私有(private)网络中。

Get https://ip-10-0-1-154:10250/stats/summary/: x509: a certificate signed by an unknown authority, unable to fully scrape metrics from source 

我没有安装任何证书。

如何在不设置新的 kubernetes 集群的情况下安装新证书以及需要在哪里更改它？

抱歉这个菜鸟问题，我尝试创建一个新证书，但我无法让 kubelet 进行更改。

Answer 1

这是 kubeadm 生成 kubelet 的位置的问题。 /var/lib/kubelet/pki 下节点上的证书( kubelet.crt , kubelet.key ) 由与 /etc/kubernetes/pki 下的主服务器使用的 CA 不同的 CA 签名(ca.crt)。一些背景here
.
您必须为您的 kubelet 重新生成证书，这些证书由 CA 在 master(s)/etc/kubernetes/pki/ca.crt 上签名。

您可以关注 this 之类的内容.例如使用 cfssl

像这样的东西:

$ mkdir ~/mycerts; cd ~/mycerts
$ cp /etc/kubernetes/pki/ca.crt ca.pem
$ cp /etc/kubernetes/pki/ca.key ca-key.pem

创建文件 kubelet-csr.json像这样:

{
  "CN": "kubernetes",
  "hosts": [
    "127.0.0.1",
    "<your-node-name>",
    "kubernetes",
    "kubernetes.default",
    "kubernetes.default.svc",
    "kubernetes.default.svc.cluster",
    "kubernetes.default.svc.cluster.local"
  ],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [{
    "C": "US",
    "ST": "NY",
    "L": "City",
    "O": "Org",
    "OU": "Unit"
  }]
}

创建 ca-config.json文件:

{
  "signing": {
    "default": {
      "expiry": "8760h"
    },
    "profiles": {
      "kubernetes": {
        "usages": [
          "signing",
          "key encipherment",
          "server auth",
          "client auth"
        ],
        "expiry": "8760h"
      }
    }
  }
}

创建 config.json文件:

{
    "signing": {
        "default": {
            "expiry": "168h"
        },
        "profiles": {
            "www": {
                "expiry": "8760h",
                "usages": [
                    "signing",
                    "key encipherment",
                    "server auth"
                ]
            },
            "client": {
                "expiry": "8760h",
                "usages": [
                    "signing",
                    "key encipherment",
                    "client auth"
                ]
            }
        }
    }
}

生成证书:

$ cfssl gencert -ca=ca.pem -ca-key=ca-key.pem \
  --config=ca-config.json -profile=kubernetes \
  kubelet-csr.json | cfssljson -bare kubelet

将文件复制到您的节点:

$ scp kubelet.pem <node-ip>:/var/lib/kubelet/pki/kubelet.crt
$ scp kubelet-key.pem <node-ip>:/var/lib/kubelet/pki/kubelet.key

重新启动节点上的 kubelet:

$ systemctl restart kubelet

PD。已打开 this跟踪问题。