手动生成证书
在使用客户端证书认证的场景下，可以通过easyrsa、openssl 或 cfssl 等工具以手工方式生成证书。
easyrsa
easyrsa 支持以手工方式为集群生成证书。
1）下载、解压、初始化打过补丁的 easyrsa3。
curl -LO https://storage.googleapis.com/kubernetes-release/easy-rsa/easy-rsa.tar.gz
tar xzf easy-rsa.tar.gz
cd easy-rsa-master/easyrsa3
./easyrsa init-pki2）生成新的证书颁发机构 （CA）。
参数
--batch用于设置自动模式；参数
--req-cn用于设置新的根证书的通用名称（CN）。
./easyrsa --batch "--req-cn=${MASTER_IP}@`date +%s`" build-ca nopass3）生成服务器证书和秘钥
参数
--subject-alt-name设置 apiserver 的 IP 和 DNS 名称。MASTER_CLUSTER_IP用于 apiserver 和 控制器管理器，通常取 CIDR 的第一个 IP，由--service-cluster-ip-range的参数提供。参数
--days用于设置证书的过期时间。
下面的示例假设默认 DNS 域名为 cluster.local。
4）拷贝 pki/ca.crt、pki/issued/server.crt 和 pki/private/server.key 到集群证书目录中。
5）在 apiserver 的启动参数中添加以下参数：
openssl
openssl 支持以手工方式为集群生成证书。
1）生成一个 2048 位的 ca.key 文件
2）在 ca.key 文件的基础上，生成 ca.crt 文件（用参数 --days 设置证书有效期）
3）生成一个 2048 位的 server.key 文件
4）创建一个用于生成证书签名请求（CSR）的配置文件。
注意：保存文件前，记得用真实值替换掉
<>中的值。
MASTER_CLUSTER_IP如上一小节所述，是 apiserver 的集群 IP。
下面的示例假设默认 DNS 域名为 cluster.local。
5）基于上面的配置文件生成证书签名请求
6）基于 ca.key、ca.crt 和 server.csr 等三个文件生成服务端证书
7）查看证书签名请求
8）查看证书
最后，为 apiserver 添加相同的启动参数。
cfssl
cfssl 是另一个用于生成证书的工具。
1）下载、解压并准备如下所示的命令行工具。
注意：可能需要根据用的硬件体系架构和 cfssl 版本调整以下示例中的命令。
2）创建一个目录，保存所生成的构件和初始化cfssl
3）创建一个 JSON 配置文件来生成 CA 文件，例如：ca-config.json
4）创建一个 JSON 配置文件，用于 CA 证书签名请求（CSR），例如：ca-csr.json。
注意：保存文件前，记得用真实值替换掉 <> 中的值
5）生成 CA 秘钥文件（ca-key.pem）和证书文件（ca.pem）
6）创建一个 JSON 配置文件，用来为 apiserver 生成秘钥和证书，例如：server-csr.json。
注意：保存文件前，记得用真实值替换掉
<>中的值。
MASTER_CLUSTER_IP如上一小节所述，是 apiserver 的集群 IP。
7）为 apiserver 生成秘钥和证书，默认会分别存储为 server-key.pem 和 server.pem 两个文件
分发自签名的 CA 证书
客户端节点可能不认可自签名的 CA 证书的有效性。
对于非生产环境，或者运行在公司内部的环境，可以分发自签名的 CA 证书到所有客户端节点，并刷新本地列表使证书生效。
在每一个客户端节点，执行以下操作：
输出：
证书 API
可以通过 certificates.k8s.io API 提供 x509 证书，用做身份验证，请参阅 管理集群中的 TLS 认证 一节。
最后更新于
这有帮助吗？