如何将根 CA 添加到 minikube？

Question

我的公司在我尝试提取图像时使用它自己的根 CA。即使来自私人注册表，我也会收到错误消息：

1h 3m 22 {kubelet minikube} 警告 FailedSync 同步错误 吊舱，跳过：使用 ErrImagePull 无法为“POD”“启动容器”： “gcr.io/google_containers/pause-amd64:3.0 的图像拉取失败，这 可能是因为此请求没有凭据。

详情： （来自守护进程的错误响应：Get https://gcr.io/v1/_ping: x509: 由未知机构签署的证书）” 1h 10s 387 {kubelet minikube} 警告 FailedSync 同步 pod 时出错，跳过：“POD”的“StartContainer”失败 ImagePullBackOff: "后退拉取图片 \"gcr.io/google_containers/pause-amd64:3.0\""

如何将根 CA 安装到 minkube 或避免此消息，即仅使用私有注册表，并且不要从 gcr.io 中提取任何内容？

Answer 1

独立于 minikube 的直接方法是使用 imagePullSecrets 配置。如Pulling an Image from a Private Registry 指南中所述，您可以创建一个Secret 并将其与您的图像一起使用，如下所示：

apiVersion: v1
kind: Pod
metadata:
  name: demo-pod
spec:
  containers:
    - name: private-container
      image: <your-private-image>
  imagePullSecrets:
    - name: the_secret

the_secret 的创建位置：

kubectl create secret docker-registry the_secret --docker-server=xxx --docker-username=xxx --docker-password=xxx --docker-email=xxx

或与：

kubectl create secret generic the_secret --from-file=.docker/config.json

或与kubectl create secret 相关的任何其他内容 - 请参阅documentation for details。

---

编辑：即使在官方的minikube 文档中，您也会发现他们使用Secrets 和registry-creds 插件。

您将找到通用文档 here 和插件文档 here。

它烧毁为：

minikube addons enable registry-creds

但从技术上讲，它的作用与上述相同。

Answer 2

到地址：

x509: certificate signed by unknown authority

您能试试 Minikube repo 的以下建议吗？

将证书复制到虚拟机中。位置应该是：

/etc/docker/certs.d/

从这里：https://docs.docker.com/engine/security/certificates/

ref

该线程还包括以下单行：

cat <certificatefile> \
  | minikube ssh "sudo mkdir -p /etc/docker/certs.d/<domain> && sudo tee /etc/docker/certs.d/<domain>/ca.crt"

这里的问题是需要更新的 Linux 主机的 CA 信任链。最简单的方法是在将证书复制到 VM 后重新启动 Linux 主机，如果无法重新启动 - 寻找update-ca-certificates 的方法。

仅重启 Docker 守护进程很可能无法解决此问题

注意：允许 Docker 守护进程使用不安全的注册表意味着证书未经过验证。虽然这可能会有所帮助，但并不能解决此处提出的问题

Answer 3

到目前为止，我发现的唯一解决方案是将 --insecure-registry gcr.io 选项添加到 minikube。