kubernetes：通过 kops 部署时的 CA 文件

Question

我使用kops 在aws 上创建了一个集群。

但是，我无法找到证书颁发机构用来生成客户端证书的文件。

kops默认会创建这样的东西吗？

如果是，创建客户端证书的推荐流程是什么？

kops documentation 对此不是很清楚。

Answer 1

我过去曾像 this 那样做：

1. 从 S3 下载 kops 生成的 CA 证书和签名密钥：
   • s3://<BUCKET_NAME>/<CLUSTER_NAME>/pki/private/ca/*.key
   • s3://<BUCKET_NAME>/<CLUSTER_NAME>/pki/issued/ca/*.crt
2. 生成客户端密钥：openssl genrsa -out client-key.pem 2048

3. 生成 CSR：

   openssl req -new \
     -key client-key.pem \
     -out client-csr.pem \
     -subj "/CN=<CLIENT_CN>/O=dev"`
   

4. 生成客户端证书：

   openssl x509 -req \
     -in client-csr.pem \
     -CA <PATH_TO_DOWNLOADED_CA_CERT> \
     -CAkey <PATH_TO_DOWNLOADED_CA_KEY> \
     -CAcreateserial \
     -out client-crt.pem \
     -days 10000
   

5. Base64 编码客户端密钥、客户端证书和 CA 证书，并将这些值填充到 config.yml，例如this
6. 将填充的config.yml 分发给您的开发人员。

5 和 6 显然可以通过您想要的任何方式分发，不需要为您的开发人员制作 config.yml。