Доступ к Kubelet API Microk8s - PullRequest
Новая
       50

Доступ к Kubelet API Microk8s

2 голосов
/ 09 марта 2020

Я хочу спросить, как получить доступ к Kubelet API из кластера microk8s.

Я посмотрел на этот url , и он говорит, что Kubelet API требуется сертификат клиента. Поэтому я назвал это (из / var / snap / microk8s / current / certs) curl -v https://127.0.0.1:10250 --cert ca.crt --cert-type PEM --cacert ca.crt --key ca.key

Но я получил ошибку, сказав: curl failed to verify the legitimacy of the server and therefore could not establish a secure connection to it. To learn more about this situation and how to fix it, please visit the web page mentioned above.

Как мне исправить эту проблему? Кроме того, в чем разница между kubelet.crt, server.crt и ca.crt в microk8s?

Спасибо!

enter image description here

1 Ответ

1 голос
/ 09 марта 2020

Попробуйте это: 

curl --verbose \
  --cert ./server.crt \
  --key ./server.key  \
  --insecure \
  https://127.0.0.1:10250/healthz

Сертификат CA в каталоге certs не подписывает сертификат: 10250 представляет пользователю. Я не знаю, откуда исходит сертификат CA, похоже, что он повернут, так как выдан CN=<servername>-ca@1567568834 (отсюда --insecure).

В командной строке kube-apiserver будет указан точный путь к сертификатам клиента kubelet (или также может быть сохранен в файле конфигурации в новом мире k8s)

--kubelet-client-certificate --kubelet-client-key

$ pgrep -a kube-apiserver | perl -pe 's/ --/\n --/g'
22071 /snap/microk8s/1247/kube-apiserver
 --cert-dir=/var/snap/microk8s/1247/certs
 --service-cluster-ip-range=10.22.189.0/24
 --authorization-mode=RBAC,Node
 --basic-auth-file=/var/snap/microk8s/1247/credentials/basic_auth.csv
 --service-account-key-file=/var/snap/microk8s/1247/certs/serviceaccount.key
 --client-ca-file=/var/snap/microk8s/1247/certs/ca.crt
 --tls-cert-file=/var/snap/microk8s/1247/certs/server.crt
 --tls-private-key-file=/var/snap/microk8s/1247/certs/server.key
 --kubelet-client-certificate=/var/snap/microk8s/1247/certs/server.crt
 --kubelet-client-key=/var/snap/microk8s/1247/certs/server.key
 --secure-port=16443
 --token-auth-file=/var/snap/microk8s/1247/credentials/known_tokens.csv
 --token-auth-file=/var/snap/microk8s/1247/credentials/known_tokens.csv
 --etcd-servers=https://127.0.0.1:12379
 --etcd-cafile=/var/snap/microk8s/1247/certs/ca.crt
 --etcd-certfile=/var/snap/microk8s/1247/certs/server.crt
 --etcd-keyfile=/var/snap/microk8s/1247/certs/server.key
 --requestheader-client-ca-file=/var/snap/microk8s/1247/certs/front-proxy-ca.crt
 --requestheader-allowed-names=front-proxy-client
 --requestheader-extra-headers-prefix=X-Remote-Extra-
 --requestheader-group-headers=X-Remote-Group
 --requestheader-username-headers=X-Remote-User
 --proxy-client-cert-file=/var/snap/microk8s/1247/certs/front-proxy-client.crt
 --proxy-client-key-file=/var/snap/microk8s/1247/certs/front-proxy-client.key
...