apiserver-kubelet-client，apiserver和kubelet证书之间有什么区别

Question

我对Kubernetes中的所有证书和密钥感到困惑。

在主数据库中，我具有以下证书和密钥：

/etc/kubernetes/pki/apiserver.crt
/etc/kubernetes/pki/apiserver.key

/etc/kubernetes/pki/apiserver-kubelet-client.crt
/etc/kubernetes/pki/apiserver-kubelet-client.key

/var/lib/kubelet/pki/kubelet.crt
/var/lib/kubelet/pki/kubelet.key

apiserver-kubelet-client (crt\key)用于在apiserver和Master内部的kubelet之间进行安全通信。
为什么我也有kubelet (crt\key)？ apiserver-kubelet-client (crt\key)还不够吗？

如果我有apiserver (crt\key)，为什么需要apiserver-kubelet-client (crt\key)？

希望有人可以以此命令。

我阅读了有关Kubernetes PKI的this文章，但我仍然不明白上述证书和密钥之间的区别。

Answer 1

准备证书时，您至少要拥有1个文件。

• CA_CERT
  • 在运行apiserver的节点上输入，例如在/srv/kubernetes/ca.crt中。
• MASTER_CERT
  • 由CA_CERT签名
  • 输入运行apiserver的节点，例如/srv/kubernetes/server.crt
• MASTER_KEY
  • 在运行apiserver的节点上输入，例如在/srv/kubernetes/server.key中

您可以在Kubernetes文档here中了解它。

很难通过证书名称来说明它们的用途。 您应该参考标准配置。 此外，kelseyhightower/kubernetes-the-hard-way展示了如何以及何时使用证书，您可以看看。

您可以查看Github上发布的此comment，了解两次服务之间需要哪种认证。