kubernetes - 为什么要使用 kubeadm 手动生成证书？

Question

我正在尝试关注这个 tutorial .

1. 自己生成证书而不是依赖 kubeadm 有什么好处？
2. 如果您自己创建证书，是否会在从 kubeadm 设置集群后自动轮换？

谢谢!

Answer 1

1. 无主要优势。 kubeadm 做同样的事情:生成自签名证书。唯一的小优势是您可以在 CSR 中添加一些自定义值。 ，例如城市、组织等。

2. 不是真的。

   • 有一个 kubelet certificate需要启用的旋转标志 --rotate-certificates。

   • 还有来自大师的证书轮换，kubeadm 可以通过这些 commands 提供帮助:

     mkdir /etc/kubernetes/pkibak
     mv /etc/kubernetes/pki/* /etc/kubernetes/pkibak
     rm /etc/kubernetes/pki/*
     kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=x.x.x.x,x.x.x.x
     systemctl restart docker
     

如果你想重新生成admin.conf文件，你也可以使用kubeadm:

$ kubeadm init phase kubeconfig admin \
  --cert-dir /etc/kubernetes/pki \
  --kubeconfig-dir /tmp/.