k8s 使用的CA与证书

https://kubernetes.io/zh/docs/setup/best-practices/certificates/

一、...

证书分为两类：

1. 客户端证书
2. 服务端证书

客户端证书：

就是作为客户端去访问，需要提供的证书。 作为客户端的身份认证。
如：
kubectl 连接 apiserver 时提供的证书；
kubelet 连接 apiserver 时提供的证书；
apiserver 连接 etcd 时提供的证书；

客户端证书只是作为认证身份，所以需要注意 CN，Organization Name 字段，分别是k8s里面的用户与用户组。

服务端证书:

简单说就是 https 端口使用的证书，对外提供服务的证书。
如:
apiserver 提供的https端口；
kubelet 提供的https端口;

服务端证书也是作为服务端的认证， 客户端会检测服务端证书的有效性。

服务端证书提供的服务，因为访问地址的不同，证书一般需要支持san扩展，也就是多个名称信息， 多个域名和ip。
比如 apiserver 一般就需要支持：

DNS.1 = kubernetes
DNS.2 = kubernetes.default
DNS.3 = kubernetes.default.svc
DNS.4 = kubernetes.default.svc.cluster
DNS.5 = kubernetes.default.svc.cluster.local
IP.1 = 172.16.101.171
IP.2 = 172.16.101.172
IP.3 = 172.16.101.173
IP.4 = 172.16.101.174
IP.5 = 10.0.0.1

DNS是kubernetes service的访问地址。
ip 一般就是几个物理地址以及vip地址， 还有service地址。

二、使用的证书

集群是如何使用证书的：

Kubelet 的客户端证书，用于 API 服务器身份验证
API 服务器端点的证书

集群管理员的客户端证书，用于 API 服务器身份认证

API 服务器的客户端证书，用于和 Kubelet 的会话

API 服务器的客户端证书，用于和 etcd 的会话

controller的客户端证书，用于和 API 服务器的会话

scheduler的客户端证书，用于和 API 服务器的会话

front-proxy 的客户端证书
说明： 只有当你运行 kube-proxy 并要支持 扩展 API 服务器 时，才需要 front-proxy 证书

前端代理， 就是apiserver代理api到扩展api。

etcd:

1. 节点之间认证证书;
2. 对外提供服务的证书;

大部分情况下可能使用同一套证书。

k8s

Master节点

1. https端口的服务端证书;
2. 连接etcd使用的客户端证书；
3. 连接kubelet使用的客户端证书;
4. 连接front-proxy的客户端证书;
5. controller 连接 apiserver 的客户端证书;
6. controller 使用的服务端证书, 一般不用指定，服务会自签证书;
7. scheduler 连接 apiserver 的客户端证书；
8. scheduler使用的服务端证书, 一般不用指定，服务会自签证书;
9. kubectl以及其它需要连接apiserver 的客户端证书；

Node节点

1. kubelet 使用的客户端证书；
2. kubelet 使用的服务端证书, 一般不用指定，服务会自签证书;
3. kube-proxy 使用的客户端证书。大部分情况下可能是用DaemonSet启的，不需要证书；

使用的CA

通常情况下使用三个CA，官方文档里也是三个CA, 还有一个service account使用的秘钥对。

秘钥对和CA生成的证书是不同的， 证书可以通过CA认证， 密钥对只是为了加解密。

1. ETCD相关证书使用一个CA；
2. k8s节点之间使用一个CA;
3. front-proxy 相关使用一个CA；

etcd的CA

etcd节点之间，以及所有etcd客户端的证书(包括apiserver连接etcd)。

k8s的CA

k8s除了front-proxy，都使用同一个CA， 包括kubelet的服务端证书，以及apiserver连接kubelet的客户端证书。

涉及参数，除了kubeconfig：
apiserver:

--tls-cert-file
--tls-private-key-file
--client-ca-file
--service-account-key-file   # 密钥对的公钥，用于解密service account

# 这两个参数也可以单独CA，不过好像没啥必要。kubeadm安装的集群里使用的也是同一个CA。
--kubelet-client-certificate
--kubelet-client-key
--kubelet-certificate-authority

controller:

--cluster-signing-cert-file
--cluster-signing-key-file
--tls-cert-file
--tls-private-key
--root-ca-file
--service-account-private-key-file   # 秘钥对的私钥，用于加密service account。

kubelet:

--client-ca-file
--tls-cert-file
--tls-private-key-file

front-proxy的CA

扩展api使用。
涉及参数:
apiserver:

--proxy-client-cert-file
--proxy-client-key-file
--requestheader-client-ca-file
--requestheader-allowed-names