A.浏览器访问 kube-apiserver 安全端口

    这是因为 kube-apiserver 的 server 证书是我们创建的根证书 ca.pem 签名的，需要将根证书 ca.pem 导入操作系统，并设置永久信任。

    对于 Mac，操作如下：

    keychain

    再次访问 ，已信任，但提示 401，未授权的访问：

    我们需要给浏览器生成一个 client 证书，访问 apiserver 的 6443 https 端口时使用。

    这里使用部署 kubectl 命令行工具时创建的 admin 证书、私钥和上面的 ca 证书，创建一个浏览器可以使用 PKCS#12/PFX 格式的证书：

      admin-cert

      重启浏览器，再次访问 apiserver 地址，提示选择一个浏览器证书，这里选中上面导入的 admin.pfx：

      这一次，被授权访问 kube-apiserver 的安全端口：

      1. 证书选择是在客户端和服务端 SSL/TLS 握手协商阶段商定的；
      2. 服务端如果要求客户端提供证书，则在握手时会向客户端发送一个它接受的 CA 列表；
      3. 用户选择一个证书私钥，然后客户端将使用它和服务端通信；

      参考