kubernetes:通过 kops 部署时的 CA 文件

Question

我已使用 kops 在 aws 上创建了一个集群。

但是，我无法找到证书颁发机构用作/由证书颁发机构用于生成客户端证书的文件。

kops 默认会创建这样的东西吗？

如果是，创建客户端证书的推荐流程是什么？

kops documentation这个不是很清楚。

Answer 1

我已经这样做了 this过去:

1. 下载kops -从S3生成的CA证书和签名 key :
   • s3://<BUCKET_NAME>/<CLUSTER_NAME>/pki/private/ca/*.key
   • s3://<BUCKET_NAME>/<CLUSTER_NAME>/pki/issued/ca/*.crt
2. 生成客户端 key :openssl genrsa -out client-key.pem 2048

3. 生成 CSR:

   openssl req -new \
     -key client-key.pem \
     -out client-csr.pem \
     -subj "/CN=<CLIENT_CN>/O=dev"`
   

4. 生成客户端证书:

   openssl x509 -req \
     -in client-csr.pem \
     -CA <PATH_TO_DOWNLOADED_CA_CERT> \
     -CAkey <PATH_TO_DOWNLOADED_CA_KEY> \
     -CAcreateserial \
     -out client-crt.pem \
     -days 10000
   

5. 对客户端 key 、客户端证书和 CA 证书进行 Base64 编码，并将这些值填充到 config.yml 中。 ，例如this
6. 分发填充的 config.yml给您的开发人员。

5 和 6 显然可以通过任何你想要的方式进行分发，不需要制作 config.yml为您的开发人员提供。