k8s部署之使用CFSSL創建證書

kubernetes 系統的各組件需要使用 TLS 證書對通信進行加密，本文檔使用 CloudFlare 的 PKI 工具集 cfssl 來生成 Certificate Authority (CA) 和其它證書；

 

生成的 CA 證書和秘鑰文件如下：

 

• ca-key.pem

• ca.pem

• kubernetes-key.pem

• kubernetes.pem

• kube-proxy.pem

• kube-proxy-key.pem

• admin.pem

• admin-key.pem

使用證書的組件如下：

 

• etcd：使用 ca.pem、kubernetes-key.pem、kubernetes.pem；

• kube-apiserver：使用 ca.pem、kubernetes-key.pem、kubernetes.pem；

• kubelet：使用 ca.pem；

• kube-proxy：使用 ca.pem、kube-proxy-key.pem、kube-proxy.pem；

• kubectl：使用 ca.pem、admin-key.pem、admin.pem；

• kube-controller-manager：使用 ca-key.pem、ca.pem

注意：以下操作都在 master 節點即 172.20.0.113 這台主機上執行，證書只需要創建一次即可，以后在向集群中添加新節點時只要將 /etc/kubernetes/ 目錄下的證書拷貝到新節點上即可

一、安裝CFSSL

wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
chmod +x cfssl_linux-amd64
mv cfssl_linux-amd64 /usr/local/bin/cfssl

wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
chmod +x cfssljson_linux-amd64
mv cfssljson_linux-amd64 /usr/local/bin/cfssljson

wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod +x cfssl-certinfo_linux-amd64
mv cfssl-certinfo_linux-amd64 /usr/local/bin/cfssl-certinfo

export PATH=/usr/local/bin:$PATH