kubernetes1.19二进制搭建-3-自签证书

下载cfssl

curl -L https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 -o /usr/bin/cfssl
curl -L https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 -o /usr/bin/cfssljson
curl -L https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64 -o /usr/bin/cfssl-certinfo
#赋予执行权限
chmod +x /usr/bin/cfssl*

自签etcd证书

创建tls/etcd文件夹存储etcd证书

mkdir /opt/tls/etcd -p

创建ca证书配置文件

###创建ca-config.json文件
cat ca-config.json
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "etcd": {
         "expiry": "87600h",
         "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ]
      }
    }
  }
}
###创建cat ca-csr.json文件
 cat ca-csr.json
{
    "CN": "etcd CA",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing"
        }
    ]
}

创建etcd证书配置文件

###hosts：masterIP 和所有etcd数据库IP,(练习懒得想这个问题所以将所有的IP都加入了进去)
cat server-csr.json
{
    "CN": "etcd",
    "hosts": [
        "192.168.2.101",
        "192.168.2.102",
        "192.168.2.103",
        "192.168.2.104"
        ],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "BeiJing",
            "ST": "BeiJing"
        }
    ]
}

生成etcd证书

##生成ca证书
	### 生成ca-key.pem  ca.pem两个pem文件
cfssl gencert -initca ca-csr.json | cfssljson -bare ca -

##生成etcd证书
	### profile需要和ca-config.json 中的一致
	### 生成server-key.pem  server.pem 两个pem文件
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem \
 -config=ca-config.json -profile=etcd server-csr.json | cfssljson -bare server

自签k8s证书

创建tls/k8s文件夹存储k8s证书

mkdir /opt/tls/k8s -p

创建ca配置文件

 cat ca-config.json
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
         "expiry": "87600h",
         "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ]
      }
    }
  }
}

cat ca-csr.json
{
    "CN": "kubernetes",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing",
            "O": "k8s",
            "OU": "System"
        }
    ]
}

创建k8s证书配置文件

cat server-csr.json
{
    "CN": "kubernetes",
    "hosts": [
      "10.0.0.1",
      "127.0.0.1",
      "kubernetes",
      "kubernetes.default",
      "kubernetes.default.svc",
      "kubernetes.default.svc.cluster",
      "kubernetes.default.svc.cluster.local",
      "192.168.2.101",
      "192.168.2.102",
      "192.168.2.103",
      "192.168.2.104"
    ],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "BeiJing",
            "ST": "BeiJing",
            "O": "k8s",
            "OU": "System"
        }
    ]
}

cat kube-proxy-csr.json
{
  "CN": "system:kube-proxy",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "L": "BeiJing",
      "ST": "BeiJing",
      "O": "k8s",
      "OU": "System"
    }
  ]
}

生成k8s证书文件

cfssl gencert -initca ca-csr.json | cfssljson -bare ca -

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem \
 -config=ca-config.json -profile=kubernetes server-csr.json | cfssljson -bare server

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem \
 -config=ca-config.json -profile=kubernetes kube-proxy-csr.json | cfssljson -bare kube-proxy

最终目录结构是

tree tls/

tls/
├── etcd
│   ├── ca-config.json
│   ├── ca-csr.json
│   ├── ca-key.pem
│   ├── ca.csr
│   ├── ca.pem
│   ├── server-csr.json
│   ├── server-key.pem
│   ├── server.csr
│   └── server.pem
└── k8s
    ├── ca-config.json
    ├── ca-csr.json
    ├── ca-key.pem
    ├── ca.csr
    ├── ca.pem
    ├── kube-proxy-csr.json
    ├── kube-proxy-key.pem
    ├── kube-proxy.csr
    ├── kube-proxy.pem
    ├── server-csr.json
    ├── server-key.pem
    ├── server.csr
    └── server.pem

2 directories, 22 files