PKI 证书和要求

Kubernetes 需要 PKI 才能执行以下操作：

Kubelet 的客户端证书，用于 API 服务器身份验证
Kubelet ，用于 API 服务器与 Kubelet 的会话
API 服务器端点的证书
集群管理员的客户端证书，用于 API 服务器身份认证
API 服务器的客户端证书，用于和 Kubelet 的会话
API 服务器的客户端证书，用于和 etcd 的会话
调度器的客户端证书或 kubeconfig，用于和 API 服务器的会话
前端代理的客户端及服务端证书

说明：

只有当你运行 kube-proxy 并要支持时，才需要证书。

etcd 还实现了双向 TLS 来对客户端和对其他对等节点进行身份验证。

假如通过 kubeadm 安装 Kubernetes，大多数证书都存储在 /etc/kubernetes/pki。本文档中的所有路径都是相对于该目录的，但用户账户证书除外，kubeadm 将其放在 /etc/kubernetes 中。

如果你不想通过 kubeadm 生成这些必需的证书，你可以使用一个单一的根 CA 来创建这些证书或者直接提供所有证书。参见证书以进一步了解创建自己的证书机构。关于管理证书的更多信息，请参见。

你可以创建由管理员控制的单根 CA。该根 CA 可以创建多个中间 CA，并将所有进一步的创建委托给 Kubernetes。

需要这些 CA：

下面的例子说明了上表中所示的 CA 密钥和证书文件。

如果你不想将 CA 的私钥拷贝至你的集群中，你也可以自己生成全部的证书。

需要这些证书：

默认 CN	父级 CA	O（位于 Subject 中）	kind	主机 (SAN)
kube-etcd	etcd-ca		server, client	`<hostname>`, `<Host_IP>`, `localhost`, `127.0.0.1`
kube-etcd-peer	etcd-ca		server, client	`<hostname>`, `<Host_IP>`, , `127.0.0.1`
kube-etcd-healthcheck-client	etcd-ca		client
kube-apiserver-etcd-client	etcd-ca	system:masters	client
kube-apiserver	kubernetes-ca		server	`<hostname>`, `<Host_IP>`, `<advertise_IP>`, `[1]`
kube-apiserver-kubelet-client	kubernetes-ca	system:masters	client
front-proxy-client	kubernetes-front-proxy-ca		client

[1]: 用来连接到集群的不同 IP 或 DNS 名（就像 kubeadm 为负载均衡所使用的固定 IP 或 DNS 名：kubernetes、kubernetes.default、kubernetes.default.svc、 kubernetes.default.svc.cluster、kubernetes.default.svc.cluster.local）。

其中对应一种或多种类型的 x509 密钥用途，也可记录在类型的 .spec.usages 中：

说明：

上面列出的 Hosts/SAN 是推荐的配置方式；如果需要特殊安装，则可以在所有服务器证书上添加其他 SAN。

说明：

不使用私钥，将证书复制到集群 CA 的方案，在 kubeadm 文档中将这种方案称为外部 CA。
如果将以上列表与 kubeadm 生成的 PKI 进行比较，你会注意到，如果使用外部 etcd，则不会生成 kube-etcd、kube-etcd-peer 和 kube-etcd-healthcheck-client 证书。

证书应放置在建议的路径中（以便使用）。无论使用什么位置，都应使用给定的参数指定路径。

默认 CN	建议的密钥路径	建议的证书路径	命令	密钥参数	证书参数
etcd-ca	etcd/ca.key	etcd/ca.crt	kube-apiserver		—etcd-cafile
kube-apiserver-etcd-client	apiserver-etcd-client.key	apiserver-etcd-client.crt	kube-apiserver	—etcd-keyfile	—etcd-certfile
kubernetes-ca	ca.key	ca.crt	kube-apiserver		—client-ca-file
kubernetes-ca	ca.key	ca.crt	kube-controller-manager	—cluster-signing-key-file	—client-ca-file, —root-ca-file, —cluster-signing-cert-file
kube-apiserver	apiserver.key	apiserver.crt	kube-apiserver	—tls-private-key-file	—tls-cert-file
kube-apiserver-kubelet-client	apiserver-kubelet-client.key	apiserver-kubelet-client.crt	kube-apiserver	—kubelet-client-key	—kubelet-client-certificate
front-proxy-ca	front-proxy-ca.key	front-proxy-ca.crt	kube-apiserver		—requestheader-client-ca-file
front-proxy-ca	front-proxy-ca.key	front-proxy-ca.crt	kube-controller-manager		—requestheader-client-ca-file
front-proxy-client	front-proxy-client.key	front-proxy-client.crt	kube-apiserver	—proxy-client-key-file	—proxy-client-cert-file
etcd-ca	etcd/ca.key	etcd/ca.crt	etcd		—trusted-ca-file, —peer-trusted-ca-file
kube-etcd	etcd/server.key	etcd/server.crt	etcd	—key-file	—cert-file
kube-etcd-peer	etcd/peer.key	etcd/peer.crt	etcd	—peer-key-file	—peer-cert-file
etcd-ca		etcd/ca.crt	etcdctl		—cacert
kube-etcd-healthcheck-client	etcd/healthcheck-client.key	etcd/healthcheck-client.crt	etcdctl	—key	—cert

注意事项同样适用于服务帐户密钥对：

下面的例子展示了自行生成所有密钥和证书时所需要提供的文件路径。这些路径基于前面的表格。

你必须手动配置以下管理员帐户和服务帐户：

文件名	凭据名称	默认 CN	O (位于 Subject 中)
admin.conf	default-admin	kubernetes-admin	system:masters
kubelet.conf	default-auth	system:node:`<nodeName>` （参阅注释）	system:nodes
controller-manager.conf	default-controller-manager	system:kube-controller-manager
scheduler.conf	default-scheduler	system:kube-scheduler

说明：

kubelet.conf 中 <nodeName> 的值必须与 kubelet 向 apiserver 注册时提供的节点名称的值完全匹配。有关更多详细信息，请阅读节点授权。

对于每个配置，请都使用给定的 CN 和 O 生成 x509 证书/密钥偶对。
为每个配置运行下面的 kubectl 命令：

下面是前表中所列文件的完整路径。