Kubernetes 到 Vault 身份验证失败

Question

晚上好！希望你们一切顺利。我正在尝试设置 K8s 与 Vault 的集成，但遇到此错误消息：x509：证书由未知机构签名

Kubernetes 在 AWS EKS 上运行，Vault 是经典负载均衡器和 Route 53 条目背后的高可用性设置。

我正在关注此链接：https://learn.hashicorp.com/vault/identity-access-management/vault-agent-k8s我指定的是我的 Kubernetes 集群，而不是 Minikube，我尝试了我能想到的所有可能的方法，但每种方法时间同样的错误。

https://:8443/apis/authentication.k8s.io/v1/tokenreviews: x509: 由未知机构签名的证书

保险库配置：

{
"listener": [{
"tcp": {
"address" : "0.0.0.0:8200",
"tls_disable" : 1 (Am doing SSL termination at LoadBalacer level)
}
}],
"api_addr": "http://<Instance_IP>:8200",
"storage": {
"dynamodb": {
"ha_enabled" : "true",
"region" : "<region_name>",
"table" :  "<table_name>"
}
},
"max_lease_ttl": "10h",
"default_lease_ttl": "10h",
"ui":true
}

尝试使用以下命令启用身份验证：“vault auth enable -tls-skip-verify kubernetes”和“vault auth enable kubernetes”，但没有成功。

请帮忙。如果您需要我提供任何信息，请告诉我。

Answer 1

您无法使用kubernetes auth 方法禁用 CA 验证。当您启用 auth 方法时，您需要指定kuberetes_host和kubernetes_ca_cert。主机是 Kubernetes 主机（API 服务器）的 FQDN。ca_cert 是验证 API 服务器请求的公共证书颁发机构。

每个云提供商都有自己的公开 CA 的方式，因为它可能属于负载均衡器而不是直接位于集群上。您似乎正在使用 AWS，因此这是这些文档。您需要拉出该certificate-authority-data字段，因为那是 CA，并将其交给 Vault。