K8S集群tls证书管理
在前文介绍的k8s master高可用实践方案中,需要对kube-apiserver的证书进行更新,加入VIP和从节点的IP,然后重新下发证书。回顾K8S集群整个搭建过程中,最容易让人懵圈的也就是配置证书环节,因此本文对K8S集群所用到的证书进行梳理一下。 一、根证书 ca.pem 根证书公钥文件 ca-key.pem 根证书私钥文件 ca.csr 证书签名请求,用于交叉签名或重新签名 ca-config.json 使用cfssl工具生成其他类型证书需要引用的配置文件 ca.pem用于签发后续其他的证书文件,因此ca.pem文件需要分发到集群中的每台服务器上去。 证书生成命令,默认生成的证书有效期5年 # echo '{"CN":"CA","key":{"algo":"rsa","size":2048}}' | cfssl gencert -initca - | cfssljson -bare ca - # echo '{"signing":{"default":{"expiry":"43800h","usages":["signing","key encipherment","server auth","client auth"]}}}' > ca-config.json 二、flannel证书 证书生成命令,默认生成的证书有效期5年 # cfssl gencert -ca=