K8S搭建過程隨筆_證書CFSSL

　　安裝CFSSL

mkdir -p /opt/k8s/cert && cd /opt/k8s
wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
mv cfssl_linux-amd64 /opt/k8s/bin/cfssl

wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
mv cfssljson_linux-amd64 /opt/k8s/bin/cfssljson

wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
mv cfssl-certinfo_linux-amd64 /opt/k8s/bin/cfssl-certinfo

chmod +x /opt/k8s/bin/*
export PATH=/opt/k8s/bin:$PATH

　　創建根證書 (CA)

根證書只需要創建一個，其他證書需要他來簽名

　　創建配置文件

cd /opt/k8s/work
cat > ca-config.json <<EOF
{
　　"signing": {
　　　　"default": {
　　　　　　"expiry": "87600h"
　　},
　　"profiles": {
　　　　"kubernetes": {
　　　　　　"usages": [
　　　　　　　　"signing",
　　　　　　　　"key encipherment",
　　　　　　　　"server auth",
　　　　　　　　"client auth"
　　　　　　　　],
　　　　　　"expiry": "87600h"
　　　　　　}
　　　　}
　　}
}
EOF

###

ca-config.json：可以定義多個 profiles，分別指定不同的過期時間、使用場景等參數；后續在簽名證書時使用某個 profile；此實例只有一個kubernetes模板。
signing：表示該證書可用於簽名其它證書；生成的 ca.pem 證書中 CA=TRUE；
server auth：表示client可以用該 CA 對server提供的證書進行驗證；
client auth：表示server可以用該CA對client提供的證書進行驗證；

###

　　創建證書簽名請求文件

cd /opt/k8s/work
cat > ca-csr.json <<EOF
{
　　"CN": "kubernetes",
　　"key": {
　　　　"algo": "rsa",
　　　　"size": 2048
　　},
　　"names": [
　　　{
　　　　"C": "CN",
　　　　"ST": "BeiJing",
　　　　"L": "BeiJing",
　　　　"O": "k8s",
　　　　"OU": "grt"
　　　}
　　]
}
EOF

###

"CN"：Common Name，kube-apiserver 從證書中提取該字段作為請求的用戶名 (User Name)

"O"：Organization，kube-apiserver 從證書中提取該字段作為請求用戶所屬的組 (Group)

###

　　生成CA證書

cd /opt/k8s/work
cfssl gencert -initca ca-csr.json | cfssljson -bare ca

 將會生成 ca-key.pem（私鑰） ca.pem（公鑰）

將公鑰發送給 所有節點

cd /opt/k8s/work
source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
　　do
　　　　echo ">>> ${node_ip}"
　　　　ssh root@${node_ip} "mkdir -p /etc/kubernetes/cert"
　　　　scp ca.pem  root@${node_ip}:/etc/kubernetes/cert
　　done

將公鑰、私鑰、配置文件移動到/etc/kubernetes/cert目錄

### ETCD 集群證書 

創建證書簽名請求：

cd /opt/k8s/work
cat > etcd-csr.json <<EOF
{
　　"CN": "etcd",
　　"hosts": [
　　　　"127.0.0.1",
　　　　"192.168.11.188"
　　],
　　"key": {
　　"algo": "rsa",
　　"size": 2048
　　},
　　"names": [
　　　{
　　　　"C": "CN",
　　　　"ST": "BeiJing",
　　　　"L": "BeiJing",
　　　　"O": "k8s",
　　　　"OU": "grt"
　　　}
　　]
}
EOF

###生成證書和私鑰：

cfssl gencert -ca=/opt/k8s/work/ca.pem \
-ca-key=/opt/k8s/work/ca-key.pem \
-config=/opt/k8s/work/ca-config.json \
-profile=kubernetes etcd-csr.json | cfssljson -bare etcd

###發送到ETCD節點

source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
do
echo ">>> ${node_ip}"
ssh root@${node_ip} "mkdir -p /etc/etcd/cert"
scp etcd*.pem root@${node_ip}:/etc/etcd/cert/
done

###    flannel 證書和私鑰

創建證書簽名請求：

cd /opt/k8s/work
cat > flanneld-csr.json <<EOF
{
　"CN": "flanneld",
　"hosts": [],
　"key": {
　　"algo": "rsa",
　　"size": 2048
　},
　"names": [
　　{
　　　"C": "CN",
　　　"ST": "BeiJing",
　　　"L": "BeiJing",
　　　"O": "k8s",
　　　"OU": "grt"
　　}
　]
}
EOF

###生成證書和私鑰

cfssl gencert -ca=/opt/k8s/work/ca.pem \
-ca-key=/opt/k8s/work/ca-key.pem \
-config=/opt/k8s/work/ca-config.json \
-profile=kubernetes flanneld-csr.json | cfssljson -bare flanneld

###發送到所有節點

source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
do
echo ">>> ${node_ip}"
ssh root@${node_ip} "mkdir -p /etc/flanneld/cert"
scp flanneld*.pem root@${node_ip}:/etc/flanneld/cert
done

### kubectl 證書

創建證書簽名

cd /opt/k8s/work
cat > admin-csr.json <<EOF
{
　"CN": "admin",
　"hosts": [],
　"key": {
　　"algo": "rsa",
　　"size": 2048
　},
　"names": [
　　{　　
　　　"C": "CN",
　　　"ST": "BeiJing",
　　　"L": "BeiJing",
　　　"O": "system:masters",
　　　"OU": "grt"
　　}
　]
}
EOF

### 生成證書和私鑰

cfssl gencert -ca=/opt/k8s/work/ca.pem \
-ca-key=/opt/k8s/work/ca-key.pem \
-config=/opt/k8s/work/ca-config.json \
-profile=kubernetes admin-csr.json | cfssljson -bare admin

### apiserver 

簽名請求

cat > kubernetes-csr.json <<EOF
{
　　"CN": "kubernetes",
　　"hosts": [
　　"127.0.0.1",
　　"192.168.11.188",
　　"${CLUSTER_KUBERNETES_SVC_IP}",
　　"kubernetes",
　　"kubernetes.default",
　　"kubernetes.default.svc",
　　"kubernetes.default.svc.cluster",
　　"kubernetes.default.svc.cluster.local."
　　],
　　"key": {
　　　　"algo": "rsa",
　　　　"size": 2048
　　},
　　"names": [
　　　{
　　　　"C": "CN",
　　　　"ST": "BeiJing",
　　　　"L": "BeiJing",
　　　　"O": "k8s",
　　　　"OU": "grt"
　　　}
　　]
}
EOF

### 生成證書和私鑰

cfssl gencert -ca=/opt/k8s/work/ca.pem \
-ca-key=/opt/k8s/work/ca-key.pem \
-config=/opt/k8s/work/ca-config.json \
-profile=kubernetes kubernetes-csr.json | cfssljson -bare kubernetes

### 發送到master節點

source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
　　do
　　　　echo ">>> ${node_ip}"
　　　　ssh root@${node_ip} "mkdir -p /etc/kubernetes/cert"
　　　　scp kubernetes*.pem root@${node_ip}:/etc/kubernetes/cert/
　　done

 ###    kube-controller-manager 集群

創建證書簽名請求

cd /opt/k8s/work
cat > kube-controller-manager-csr.json <<EOF
{
　　"CN": "system:kube-controller-manager",
　　"key": {
　　　　"algo": "rsa",
　　　　"size": 2048
　　},
　　"hosts": [
　　　　"127.0.0.1",
　　　　"192.168.11.188"
　　],
　　"names": [
　　　{
　　　　"C": "CN",
　　　　"ST": "BeiJing",
　　　　"L": "BeiJing",
　　　　"O": "system:kube-controller-manager",
　　　　"OU": "grt"
　　　}
　　]
}
EOF

生成證書和私鑰：

cfssl gencert -ca=/opt/k8s/work/ca.pem \
-ca-key=/opt/k8s/work/ca-key.pem \
-config=/opt/k8s/work/ca-config.json \
-profile=kubernetes kube-controller-manager-csr.json | cfssljson -bare kube-controller-manager

將生成的證書和私鑰分發到所有 master 節點：

source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
　　do
　　　　echo ">>> ${node_ip}"
　　　　scp kube-controller-manager*.pem root@${node_ip}:/etc/kubernetes/cert/
　　done