ssl - Kubernetes 的 "system trust roots on the apiserver"定义中的 "caBundle"的 "WebhookClientConfig"是什么

Question

当我检查 Kubernetes API 的“WebhookClientConfig”定义时，我发现了这样的注释:

// `caBundle` is a PEM encoded CA bundle which will be used to validate the webhook's server certificate.
// If unspecified, system trust roots on the apiserver are used.
// +optional
CABundle []byte `json:"caBundle,omitempty" protobuf:"bytes,2,opt,name=caBundle"`

在 WebhookClientConfig
我想知道，“系统信任根”到底是什么？
恐怕 Kubernetes 的 CSR API 的内部签名者不是其中之一。

Answer 1

使用安全的网络连接是一种很好的做法。 Kubernetes 中的 Webhook 端点通常是专用网络中的端点。自定义私有(private) CABundle 可用于生成 TLS 证书以实现安全 connection集群内。参见例如contacting the webhook .

Webhooks can either be called via a URL or a service reference, and can optionally include a custom CA bundle to use to verify the TLS connection.

这个 CABundle 是可选的。另见 service reference关于如何连接。

If the webhook is running within the cluster, then you should use service instead of url. The service namespace and name are required. The port is optional and defaults to 443. The path is optional and defaults to "/".

Here is an example of a mutating webhook configured to call a service on port "1234" at the subpath "/my-path", and to verify the TLS connection against the ServerName my-service-name.my-service-namespace.svc using a custom CA bundle