kubernetes v1.11.2 源碼安裝(二)創建 kubeconfig 文件


一、安裝kubectl命令行工具所有節點都要安裝

下載kubectl,先在 master 節點上安裝 kubectl 然后再進行下面的操作。

github 地址: https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.11.md#v1112
wget https://storage.googleapis.com/kubernetes-release/release/v1.11.2/kubernetes-client-linux-amd64.tar.gz tar -xzvf kubernetes-client-linux-amd64.tar.gz cp kubernetes/client/bin/kube* /usr/bin/ chmod a+x /usr/bin/kube*

 

創建 kubectl kubeconfig 文件

export KUBE_APISERVER="https://10.10.10.11:6443"
# 設置集群參數 kubectl config set-cluster kubernetes \ --certificate-authority=/etc/kubernetes/ssl/ca.pem \ --embed-certs=true \ --server=${KUBE_APISERVER}
# 設置客戶端認證參數 kubectl config
set-credentials admin \ --client-certificate=/etc/kubernetes/ssl/admin.pem \ --embed-certs=true \ --client-key=/etc/kubernetes/ssl/admin-key.pem
# 設置上下文參數 kubectl config
set-context kubernetes \ --cluster=kubernetes \ --user=admin
# 設置默認上下文 kubectl config use
-context kubernetes
  • admin.pem 證書 OU 字段值為 system:masterskube-apiserver 預定義的 RoleBinding cluster-admin 將 Group system:masters 與 Role cluster-admin 綁定,該 Role 授予了調用kube-apiserver 相關 API 的權限;
  • 生成的 kubeconfig 被保存到 ~/.kube/config 文件

注意:~/.kube/config文件擁有對該集群的最高權限,請妥善保管。

 

  kubeletkube-proxy 等 Node 機器上的進程與 Master 機器的 kube-apiserver 進程通信時需要認證和授權;

  kubernetes 1.4 開始支持由 kube-apiserver 為客戶端生成 TLS 證書的 TLS Bootstrapping 功能,這樣就不需要為每個客戶端生成證書了;該功能當前僅支持為 kubelet 生成證書;

  以下操作只需要在master節點上執行,生成的*.kubeconfig文件可以直接拷貝到node節點的/etc/kubernetes目錄下。

 

二、創建 TLS Bootstrapping Token

 

生成Token auth file

Token可以是任意的包含128 bit的字符串,可以使用安全的隨機數發生器生成。

export BOOTSTRAP_TOKEN=$(head -c 16 /dev/urandom | od -An -t x | tr -d ' ')

cat
> token.csv <<EOF ${BOOTSTRAP_TOKEN},kubelet-bootstrap,10001,"system:kubelet-bootstrap" EOF

注意:在進行后續操作前請檢查 token.csv 文件,確認其中的 ${BOOTSTRAP_TOKEN} 環境變量已經被真實的值替換。

 

  BOOTSTRAP_TOKEN 將被寫入到 kube-apiserver 使用的 token.csv 文件和 kubelet 使用的 bootstrap.kubeconfig 文件,如果后續重新生成了 BOOTSTRAP_TOKEN,則需要:

  • 更新 token.csv 文件,分發到所有機器 (master 和 node)的 /etc/kubernetes/ 目錄下分發到node節點上非必需
  • 重新生成 bootstrap.kubeconfig 文件,分發到所有 node 機器的 /etc/kubernetes/ 目錄下;
  • 重啟 kube-apiserver 和 kubelet 進程;
  • 重新 approve kubelet 的 csr 請求;
cp token.csv /etc/kubernetes/

 

三、創建 kubelet bootstrapping kubeconfig 文件

執行下面命令前提是安裝kubectl

cd /etc/kubernetes
export KUBE_APISERVER="https://10.10.10.11:6443" # 設置集群參數
kubectl config set-cluster kubernetes \
  --certificate-authority=/etc/kubernetes/ssl/ca.pem \
  --embed-certs=true \
  --server=${KUBE_APISERVER} \
  --kubeconfig=bootstrap.kubeconfig

# 設置客戶端認證參數
kubectl config set-credentials kubelet-bootstrap \
  --token=${BOOTSTRAP_TOKEN} \
  --kubeconfig=bootstrap.kubeconfig

# 設置上下文參數
kubectl config set-context default \
  --cluster=kubernetes \
  --user=kubelet-bootstrap \
  --kubeconfig=bootstrap.kubeconfig

# 設置默認上下文
kubectl config use-context default --kubeconfig=bootstrap.kubeconfig
  • --embed-certs 為 true 時表示將 certificate-authority 證書寫入到生成的 bootstrap.kubeconfig 文件中;
  • 設置客戶端認證參數時沒有指定秘鑰和證書,后續由 kube-apiserver 自動生成

 

四、創建 kube-proxy kubeconfig 文件

export KUBE_APISERVER="https://10.10.10.11:6443"
# 設置集群參數 kubectl config set-cluster kubernetes \ --certificate-authority=/etc/kubernetes/ssl/ca.pem \ --embed-certs=true \ --server=${KUBE_APISERVER} \ --kubeconfig=kube-proxy.kubeconfig
# 設置客戶端認證參數 kubectl config
set-credentials kube-proxy \ --client-certificate=/etc/kubernetes/ssl/kube-proxy.pem \ --client-key=/etc/kubernetes/ssl/kube-proxy-key.pem \ --embed-certs=true \ --kubeconfig=kube-proxy.kubeconfig
# 設置上下文參數 kubectl config
set-context default \ --cluster=kubernetes \ --user=kube-proxy \ --kubeconfig=kube-proxy.kubeconfig
# 設置默認上下文 kubectl config use
-context default --kubeconfig=kube-proxy.kubeconfig
  • 設置集群參數和客戶端認證參數時 --embed-certs 都為 true,這會將 certificate-authorityclient-certificate 和 client-key 指向的證書文件內容寫入到生成的 kube-proxy.kubeconfig 文件中;
  • kube-proxy.pem 證書中 CN 為 system:kube-proxykube-apiserver 預定義的 RoleBinding cluster-admin 將User system:kube-proxy 與 Role system:node-proxier 綁定,該 Role 授予了調用 kube-apiserver Proxy 相關 API 的權限;

 

五、分發 kubeconfig 文件

將兩個 kubeconfig 文件分發到所有 Node 機器的 /etc/kubernetes/ 目錄

cp bootstrap.kubeconfig kube-proxy.kubeconfig /etc/kubernetes/
scp bootstrap.kubeconfig kube-proxy.kubeconfig node1:/etc/kubernetes/
scp bootstrap.kubeconfig kube-proxy.kubeconfig node2:/etc/kubernetes/

 


注意!

本站转载的文章为个人学习借鉴使用,本站对版权不负任何法律责任。如果侵犯了您的隐私权益,请联系我们删除。



 
粤ICP备14056181号  © 2014-2021 ITdaan.com