Kubernetes证书相关(CFSSL) 在Centos7下，使用cfssl工具生成CA证书

1.下载cfssl工具
$ wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
$ chmod +x cfssl_linux-amd64
$ sudo mv cfssl_linux-amd64 /root/local/bin/cfssl

$ wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
$ chmod +x cfssljson_linux-amd64
$ sudo mv cfssljson_linux-amd64 /root/local/bin/cfssljson

$ wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
$ chmod +x cfssl-certinfo_linux-amd64
$ sudo mv cfssl-certinfo_linux-amd64 /root/local/bin/cfssl-certinfo

$ export PATH=/root/local/bin:$PATH
2.生成默认的配置文件和证书签名请求文件
$ cfssl print-defaults config > ca-config.json
$ cfssl print-defaults csr > ca-csr.json
2.1.查看并修改CA 配置文件

cat ca-config.json

{
“signing”: {
“default”: {
“expiry”: “9999h”
},
“profiles”: {
“www”: {
“expiry”: “9999h”,
“usages”: [
“signing”,
“key encipherment”,
“server auth”
]
},
“client”: {
“expiry”: “9999h”,
“usages”: [
“signing”,
“key encipherment”,
“client auth”
]
}
}
}
}

• ca-config.json：可以定义多个 profiles，分别指定不同的过期时间、使用场景等参数；后续在签名证书时使用某个 profile；

• signing：表示该证书可用于签名其它证书；生成的 ca.pem 证书中 CA=TRUE；

• server auth：表示 client 可以用该 CA 对 server 提供的证书进行验证；

• client auth：表示 server 可以用该 CA 对 client 提供的证书进行验证；

2.2.查看并修改 CA 证书签名请求
{
“CN”: “registry.test.com”,
“hosts”: [
“127.0.0.1”,
“172.16.160.38”,
“registry.test.com”
],
“key”: {
“algo”: “rsa”,
“size”: 2048
},
“names”: [
{
“C”: “CN”,
“ST”: “BeiJing”,
“L”: “BeiJing”,
“O”: “k8s”,
“OU”: “System”
}
]
}

• “CN”：Common Name，kube-apiserver 从证书中提取该字段作为请求的用户名 (User Name)；浏览器使用该字段验证网站是否合法；

• “O”：Organization，kube-apiserver 从证书中提取该字段作为请求用户所属的组 (Group)；

3.生成 CA 证书和私钥：
[root@dev tmp]# cfssl gencert -initca ca-csr.json | cfssljson -bare ca #重新执行
[root@dev tmp]# ls ca*
ca-config.json ca.csr ca-csr.json ca-key.pem ca.pem
分发证书

4.校验证书
4.1使用 openssl 命令校验证书
$ openssl x509 -noout -text -in kubernetes.pem
…
Signature Algorithm: sha256WithRSAEncryption
Issuer: C=CN, ST=BeiJing, L=BeiJing, O=k8s, OU=System, CN=Kubernetes
Validity
Not Before: Apr 5 05:36:00 2017 GMT
Not After : Apr 5 05:36:00 2018 GMT
Subject: C=CN, ST=BeiJing, L=BeiJing, O=k8s, OU=System, CN=kubernetes
…
X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature, Key E