openshift-origin - Openshift .kubeconfig 文件和证书身份验证

Question

我一直在摆弄 openshift 并阅读尽可能多的文档。然而，默认执行的身份验证(使用 admin .kubeconfig)让我感到困惑。

1) client-certificate-data 和 client-key-data 是否与管理员证书和 key 相同？我问这个是因为证书/ key 文件的内容与 .kubeconfig 中的内容不同。

2).kubeconfig (AFAIK) 用于再次对 kubernetes master 进行身份验证。然而，在 OpenShift 中，我们针对 OpenShift master 进行身份验证(对吗？)。为什么使用 .kubeconfig？

谨致问候并感谢您的耐心等待。

Answer 1

OpenShift 构建在 Kubernetes 之上 - 它公开 OpenShift API(构建、部署、镜像、项目)和 Kubernetes API(pod、复制 Controller 、服务)。连接到 OpenShift 的客户端将使用两组 API。 OpenShift可以在现有 Kubernetes 集群之上运行，在这种情况下，它将代理对 Kubernetes master 的 API 调用，然后在其之上应用安全策略(通过 OpenShift 策略引擎，该引擎最终可能成为 Kube 的一部分) )。

因此，客户端实际上是 Kubectl 的扩展，提供了一些附加功能，并且它可以使用 .kubeconfig 与 Kubectl 设置保持一致。您可以通过 kubectl 与 OpenShift 集群通信，因此反之亦然似乎很公平。

客户端证书数据和 key 数据是磁盘上文件的 Base64 编码版本。一旦你解码它们，它们应该是相同的。我们这样做是为了使 .kubeconfig 可以作为一个单元进行传送，但您也可以将其设置为引用磁盘上的文件。