ошибка eks: данные центра сертификации и центра сертификации указаны для kubernetes - PullRequest
Новая
       13

ошибка eks: данные центра сертификации и центра сертификации указаны для kubernetes

0 голосов
/ 12 сентября 2018

У меня есть настройка EKS (kubernetes) с файлом конфигурации: 

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: REDACTED
    server: https://E3D13176159D2CA5C51AF0622AFE252C.yl4.us-east-1.eks.amazonaws.com
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    user: aws
  name: aws
current-context: aws
kind: Config
preferences: {}
users:
- name: aws
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1alpha1
      args:
      - token
      - -i
      - terraform-eks-demo-green
      command: aws-iam-authenticator
      env: null

данные центра сертификации здесь самоподписаны (поставляется с EKS AMI) , я пытаюсьчтобы настроить личный реестр докеров для kubernetes (артефакт), который является https и использует внутренний сертификат.

, поэтому при применении моего контейнера я делаю следующее: 

kubectl apply  --certificate-authority='internal-ca.pem' -f echo-service.yaml

, который завершается неудачно с:

ошибка: данные центра сертификации и центра сертификации указаны для kubernetes.данные центра сертификации будут переопределены.

Как настроить контейнер для использования другого сертификата, отличного от определенного в конфигурации docker?

В настоящее время любое применение контейнера завершается неудачнос:

x509: сертификат подписан неизвестным органом

, поскольку он использует прежний сертификат ..

1 Ответ

0 голосов
/ 13 сентября 2018

Параметр kubectl для центра сертификации предназначен для самого клиента. То, что вы хотите, это настроить CA внутри контейнера. Думаю, есть несколько способов настройки (не ограничиваясь):

  1. Создайте ConfigMap (или секрет k8s) с содержимым ca и смонтируйте его на своем модуле, и ваше приложение будет ссылаться на него как на конфигурацию ca (ваш реестр докеров)

  2. Запекать конфигурацию непосредственно в контейнер, например, в каком-то каталоге /etc/registry, и ваше приложение ссылается на него. Более рекомендуемый способ - это 1. из-за того, что обычно не рекомендуется использовать hard-cde кредит в вашем образе контейнера.

...