Kubernetes控制台-尝试访问服务时出错：拨打TCP 10.36.0.1:8443：I/O超时

Question

我用谷歌搜索并找到了解决自己难题的答案。我能找到的所有答案均不适用，但他们说这已经被讨论了很多次了。

以下是我的实际群集设置。 4个工作节点，2个主节点和1个负载均衡器。

我安装了仪表板

XXXX@master01:~$ kubectl get pods --all-namespaces
NAMESPACE              NAME                                         READY   STATUS    RESTARTS   AGE
default                busybox                                      1/1     Running   30         30h
kube-system            coredns-78cb77577b-lbp87                     1/1     Running   0          30h
kube-system            coredns-78cb77577b-n7rvg                     1/1     Running   0          30h
kube-system            weave-net-d9jb6                              2/2     Running   7          31h
kube-system            weave-net-nsqss                              2/2     Running   0          39h
kube-system            weave-net-wnbq7                              2/2     Running   7          31h
kube-system            weave-net-zfsmn                              2/2     Running   0          39h
kubernetes-dashboard   dashboard-metrics-scraper-7b59f7d4df-dhcpn   1/1     Running   0          28h
kubernetes-dashboard   kubernetes-dashboard-665f4c5ff-6qnzp         1/1     Running   7          28h

我安装了我的服务帐户并为其分配了群集管理员角色

XXXX@master01:~$ kubectl get sa -n kubernetes-dashboard
NAME                   SECRETS   AGE
default                1         28h
kube-apiserver         1         25h
kubernetes-dashboard   1         28h

我正在使用kube-apiserver用户服务帐户，因为将证书加载到我已经拥有的浏览器中很容易。

现在，我尝试使用负载平衡器访问仪表板： https://loadbalancer.local:6443/api/v1/namespaces/kubernetes-dashboard/services/https:kubernetes-dashboard:/proxy/

在这一点上，人们会认为我应该获得仪表板，并且我遇到的每个问题都做出了这种假设，但是我遇到了以下错误：

{
  "kind": "Status",
  "apiVersion": "v1",
  "metadata": {
    
  },
  "status": "Failure",
  "message": "error trying to reach service: dial tcp 10.36.0.1:8443: i/o timeout",
  "code": 500
}

所以我决定拉日志：

kubectl logs -n kubernetes-dashboard service/kubernetes-dashboard                                                                   

Error from server: Get "https://worker04:10250/containerLogs/kubernetes-dashboard/kubernetes-dashboard-665f4c5ff-6qnzp/kubernetes-dashboard": x509: certificate signed by unknown
authority

我所得到的只是这一行，我有一个想法来找出来自此工作程序节点的证书有什么问题： worker04：10250 我使用OpenSSL检查证书，发现了以下内容： worker04可以生成自己的证书，但是也可以生成自己的CA。

这是我不知道如何解决此问题并启动仪表板的地方。 我还在 master01 上尝试过代理：

kubectl -v=9 proxy --port=8001 --address=192.168.1.24

我只有403禁止！

Answer 1

我在此上取得了一些进展，我发现当节点生成并向集群注册时，它正在生成自己的证书CSR，该证书由其自己生成的CA签名，为解决此问题，我为所有节点生成了证书由群集CA签名并替换了自动生成的证书并重新启动了节点。