CKS认证-TLS通信配置原题

18. TLS通信配置原题

问题：

修改 API server 和 etcd 之间通信的 TLS 配置。
1. 对于 API server，删除对除 TLS 1.3 及更⾼版本之外的所有 TLS 版本的⽀持。此外，
删除对除
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 之外的所有 cipher suites 的⽀持。
2. 对于 etcd，删除对除 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 之外的所有
cipher suites 的⽀持

正确答案：

注意：
先切换集群, 然后登录到master节点上(如果有多个master分别执⾏下⾯的内容) 模拟环境在 主节点执⾏
etcd.yaml和kuberapiserver的不同。
修改etcd时，需要到etcd的官网查询相关参数的填写项。apiserver则在kubernetes.io/zh-cn这个网站查询即可。或者直接在apiserver的文档直接查，但是得删除 “tls-”这个参数，否则会报错。

修改kube-apiserver.yaml

root@hk8s-master01:/etc/kubernetes/manifests# vim kube-apiserver.yaml 
 12 spec:
 13   containers:
 14   - command:
 15     - kube-apiserver
 16     - --tls-min-version=VersionTLS13  #如果题目要求 TLS 1.2，则就写 VersionTLS12
 17     - --tls-cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

修改etcd.yaml

root@hk8s-master01:/etc/kubernetes/manifests# vim etcd.yaml 
 12 spec:
 13   containers:
 14   - command:
 15     - etcd
 16     - --cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256