kubernetes:通过kops部署时的CA文件

Question

我在aws使用时创建了一个集群kops.

但是,我无法找到用于/由证书颁发机构用于生成客户端证书的文件.

是否kops默认创建这样的事情？

如果是这样,建议客户端证书的建议流程是什么？

该KOPS文档是不是这个很清楚.

Answer 1

我已经做到了像这样在过去的:

1. kops从S3 下载生成的CA证书和签名密钥:
   • s3://<BUCKET_NAME>/<CLUSTER_NAME>/pki/private/ca/*.key
   • s3://<BUCKET_NAME>/<CLUSTER_NAME>/pki/issued/ca/*.crt
2. 生成客户端密钥: openssl genrsa -out client-key.pem 2048

3. 生成CSR:

   openssl req -new \
     -key client-key.pem \
     -out client-csr.pem \
     -subj "/CN=<CLIENT_CN>/O=dev"`
   

4. 生成客户端证书:

   openssl x509 -req \
     -in client-csr.pem \
     -CA <PATH_TO_DOWNLOADED_CA_CERT> \
     -CAkey <PATH_TO_DOWNLOADED_CA_KEY> \
     -CAcreateserial \
     -out client-crt.pem \
     -days 10000
   

5. 使用Base64编码的客户端密钥,客户端证书和CA证书,并在填充这些值config.yml,如本
6. 将填充的内容分config.yml发给您的开发人员.

5和6显然可以通过你想要的任何方式分发,不需要config.yml为你的开发人员.