kubernetes1.5.2集群部署过程--安全模式

最新推荐文章于 2022-07-31 18:10:13 发布

lykops

最新推荐文章于 2022-07-31 18:10:13 发布

阅读量961

点赞数 1

分类专栏： docker kubernetes 文章标签： kubernetes K8S kubernetes集群部署 kubernetes安全

本文链接：https://blog.csdn.net/liyingke112/article/details/77776491

版权

本文详细介绍了如何在安全模式下部署 Kubernetes 1.5.2 集群，涉及证书部署、etcd、flanneld网络、kube-master及node节点的配置。通过CFSSL创建并签发各类证书，确保集群内部及外部通讯的安全，并对证书进行验证。整个流程包括CA证书创建、kube-master和kubelet证书签发、etcd证书签发，以及证书的分发和权限设置。

摘要由CSDN通过智能技术生成

使用https安全模式部署kubernetes集群，能保证集群通讯安全、有效限制非授权用户访问。但部署比非安全模式复杂的多。

本文为etcd、kubernetes集群中各个组件配置证书认证，所有组件通讯之间使用https通讯。

运行环境

宿主机：CentOS7 7.3.1611
关闭selinux
etcd 3.1.9
flunnel 0.7.1
docker 1.12.6
kubernetes 1.5.2

安装软件

yum install etcd kubernetes kubernetes-client kubernetes-master kubernetes-node flannel docker docker-devel docker-client docker-common -y

证书部署

cfssl

CFSSL是开源的PKI工具箱，可以创建一个轻松获取和操作证书的内部CA。该工具具有运行一个CA所需的全部功能。

运行CA需要一个CA证书和相应的私钥。私钥是极其敏感的数据，任何知道私钥的人都可以充当CA颁发证书，私钥的保护至关重要。

安装cfssl

wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod a+x cfssl*
mv cfssl-certinfo_linux-amd64 cfssl-certinfo
mv cfssl_linux-amd64 cfssl
mv cfssljson_linux-amd64 cfssljson

签发证书

创建CA证书

创建 CA 配置文件

mkdir /root/ssl
cd /root/ssl 
cat << EOF > ca-config.json
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
        "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ],
        "expiry": "87600h"
      }
    }
  }
}
EOF

字段说明

ca-config.json：可以定义多个 profiles，分别指定不同的过期时间、使用场景等参数；后续在签名证书时使用某个 profile；
signing：表示该证书可用于签名其它证书；生成的 ca.pem 证书中 CA=TRUE；
server auth：表示client可以用该 CA 对server提供的证书进行验证；
client auth：表示server可以用该CA对client提供的证书进行验证；

创建 CA 证书签名请求

cat << EOF > ca-csr.json
{
  "CN": "lykops.net",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "GD",
      "L": "SZ",
      "O": "lykops.net",
      "OU": "lykops.net"
    }
  ]
}
EOF

生成 CA 证书和私钥