如何生成k8s证书

生成Kubernetes证书的方法包括：使用Kubernetes自带的证书生成工具、使用cfssl工具、使用OpenSSL工具。 我们将详细描述如何使用Kubernetes自带的证书生成工具。这是最直接且常用的方法，因为Kubernetes本身提供了创建和管理证书的功能，从而简化了证书管理的复杂性。使用Kubernetes自带的工具，您可以利用kubeadm命令行工具轻松地创建所需的证书。kubeadm不仅可以自动化生成证书，还可以简化证书的分发和管理，这使得它成为在生产环境中部署和管理Kubernetes集群的理想选择。

一、使用Kubernetes自带工具生成证书

Kubernetes自带的证书生成工具主要通过kubeadm来实现。kubeadm是一个用于快速部署Kubernetes集群的工具。它不仅可以初始化和配置Kubernetes集群，还可以生成必要的证书。

1. 安装kubeadm
首先，确保你已经安装了kubeadm。如果没有安装，可以通过如下命令进行安装：

sudo apt-get update && sudo apt-get install -y apt-transport-https curl curl -s https://packages.cloud.google.com/apt/doc/apt-key.gpg | sudo apt-key add - sudo apt-add-repository "deb http://apt.kubernetes.io/ kubernetes-xenial main" sudo apt-get update sudo apt-get install -y kubeadm

2. 初始化集群并生成证书
使用kubeadm init命令初始化集群，这个过程会自动生成所需的证书：

sudo kubeadm init --pod-network-cidr=192.168.0.0/16

这个命令会输出生成的证书路径，通常存放在/etc/kubernetes/pki目录下。

3. 查看生成的证书
进入证书存放目录查看生成的证书：

cd /etc/kubernetes/pki ls

你会看到一系列证书和密钥文件，例如：ca.crt、apiserver.crt、apiserver-kubelet-client.crt等。

二、使用cfssl生成证书

cfssl是一个强大的证书生成和管理工具，它提供了一系列命令行工具和一个API服务器来简化证书生成流程。

1. 安装cfssl
首先，下载并安装cfssl工具：

curl -s -L -o /usr/local/bin/cfssl https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 curl -s -L -o /usr/local/bin/cfssljson https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 chmod +x /usr/local/bin/cfssl*

2. 生成CA证书
创建一个CA配置文件ca-config.json和一个CA证书请求文件ca-csr.json：

// ca-config.json
{
  "signing": {
    "default": {
      "expiry": "8760h"
    },
    "profiles": {
      "kubernetes": {
        "usages": ["signing", "key encipherment", "server auth", "client auth"],
        "expiry": "8760h"
      }
    }
  }
}
// ca-csr.json
{
  "CN": "Kubernetes",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "US",
      "ST": "California",
      "L": "San Francisco",
      "O": "Kubernetes",
      "OU": "CA"
    }
  ]
}

使用cfssl生成CA证书和密钥：

cfssl gencert -initca ca-csr.json | cfssljson -bare ca

3. 生成Kubernetes证书
创建一个Kubernetes API服务器证书请求文件apiserver-csr.json：

// apiserver-csr.json
{
  "CN": "kube-apiserver",
  "hosts": [
    "10.96.0.1",
    "127.0.0.1",
    "kubernetes.default"
  ],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "US",
      "ST": "California",
      "L": "San Francisco",
      "O": "Kubernetes",
      "OU": "Kubernetes"
    }
  ]
}

使用cfssl生成API服务器证书和密钥：

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes apiserver-csr.json | cfssljson -bare apiserver

此时，你会得到apiserver.pem和apiserver-key.pem文件。

三、使用OpenSSL生成证书

OpenSSL是一种开源的实现SSL和TLS协议的工具包。它可以用来生成和管理证书。

1. 安装OpenSSL
确保系统已经安装了OpenSSL。如果没有，可以通过如下命令进行安装：

sudo apt-get update sudo apt-get install -y openssl

2. 生成CA证书
创建一个CA私钥和自签名证书：

openssl genrsa -out ca.key 2048 openssl req -x509 -new -nodes -key ca.key -subj "/CN=kubernetes-ca" -days 10000 -out ca.crt

3. 生成Kubernetes证书
创建一个Kubernetes API服务器私钥和证书签名请求(CSR)：

openssl genrsa -out apiserver.key 2048 openssl req -new -key apiserver.key -subj "/CN=kube-apiserver" -out apiserver.csr

使用CA证书签名API服务器证书：

openssl x509 -req -in apiserver.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out apiserver.crt -days 10000

此时，你会得到apiserver.crt和apiserver.key文件。

四、证书管理和更新

证书管理和更新对于保持集群的安全性至关重要。定期检查和更新证书可以防止证书过期导致的服务中断。

1. 定期检查证书有效期
使用如下命令检查证书的有效期：

openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -enddate

如果证书即将过期，应尽快更新。

2. 更新证书
重新生成新的证书并替换旧的证书文件。确保在替换证书后重启相关的Kubernetes组件，例如apiserver、controller-manager等。

3. 自动化证书管理
可以使用工具例如cert-manager来自动化管理Kubernetes中的证书。cert-manager可以自动生成、签名和更新证书，简化了证书管理的流程。

五、证书分发和配置

在生成证书后，必须将它们分发到需要的节点和组件，并进行正确的配置。

1. 分发证书
将生成的证书和密钥分发到各个节点和组件。例如，将API服务器证书分发到所有的主节点：

scp apiserver.crt apiserver.key root@<master-node-ip>:/etc/kubernetes/pki/

2. 配置组件使用证书
在Kubernetes配置文件中指定证书和密钥。例如，在kube-apiserver的配置文件中：

apiVersion: v1 kind: Pod metadata: name: kube-apiserver namespace: kube-system spec: containers: - name: kube-apiserver image: k8s.gcr.io/kube-apiserver:v1.18.0 command: - kube-apiserver - --tls-cert-file=/etc/kubernetes/pki/apiserver.crt - --tls-private-key-file=/etc/kubernetes/pki/apiserver.key ...

确保所有需要使用证书的组件都正确配置了证书路径。