Примітка:
На вузлах, створених за допомогою kubeadm init, до версії kubeadm 1.17, існує помилка, де вам потрібно вручну змінити зміст kubelet.conf. Після завершення kubeadm init ви повинні оновити kubelet.conf, щоб вказати на змінені сертифікати клієнта kubelet, замінивши client-certificate-data та client-key-data на:
client-certificate: /var/lib/kubelet/pki/kubelet-client-current.pem
client-key: /var/lib/kubelet/pki/kubelet-client-current.pem
Примітка: Цей розділ містить посилання на проєкти сторонніх розробників, які надають функціонал, необхідний для Kubernetes. Автори проєкту Kubernetes не несуть відповідальності за ці проєкти. Проєкти вказано в алфавітному порядку. Щоб додати проєкт до цього списку, ознайомтеся з
посібником з контенту перед надсиланням змін.
Докладніше.
Ви можете використовувати власні контролери сторонніх постачальників:
- [kubelet-csr-approver](https://github.com/postfinance/kubelet-csr-approver)
Такий контролер не є безпечним механізмом, якщо він перевіряє лише CommonName в CSR, але також перевіряє запитані IP-адреси та доменні імена. Це запобігло б зловмиснику, який має доступ до сертифіката клієнта kubelet, створювати CSRs, запитуючи службові сертифікати для будь-якої IP-адреси або доменного імені.
## Генерація файлів kubeconfig для додаткових користувачів {#kubeconfig-additional-users}
Під час створення кластера, `kubeadm init` підписує сертифікат у `super-admin.conf`, щоб мати `Subject: O = system:masters, CN = kubernetes-super-admin`. [`system:masters`](/docs/reference/access-authn-authz/rbac/#user-facing-roles) є групою суперкористувачів, яка обходить рівень авторизації (наприклад, [RBAC](/docs/reference/access-authn-authz/rbac/)). Файл `admin.conf` також створюється за допомогою kubeadm на вузлах панелі управління і містить сертифікат з `Subject: O = kubeadm:cluster-admins, CN = kubernetes-admin`. `kubeadm:cluster-admins` це група, яка логічно належить до kubeadm. Якщо ваш кластер використовує RBAC (стандартний параметр kubeadm), група `kubeadm:cluster-admins` буде привʼязана до ClusterRole групи [`cluster-admin`](/docs/reference/access-authn-authz/rbac/#user-facing-roles).
Попередження:
Уникайте спільного доступу до файлів super-admin.conf або admin.conf. Замість цього створіть найменш привілейований доступ навіть для людей, які працюють адміністраторами, і використовуйте цю найменш привілейовану альтернативу для будь-чого, крім аварійного (екстреного) доступу.
Замість цього, ви можете використовувати команду [`kubeadm kubeconfig user`](/docs/reference/setup-tools/kubeadm/kubeadm-kubeconfig) для генерації файлів kubeconfig для додаткових користувачів. Команда приймає змішаний набір параметрів командного рядка та опцій конфігурації [kubeadm](/docs/reference/config-api/kubeadm-config.v1beta4/). Згенерований kubeconfig буде записаний до stdout і може бути перенаправлений у файл за допомогою `kubeadm kubeconfig user ... > somefile.conf`.
Приклад конфігураційного файлу, який можна використовувати з `--config`:
```yaml
# example.yaml
apiVersion: kubeadm.k8s.io/v1beta4
kind: ClusterConfiguration
# Буде використано як цільовий "кластер" у kubeconfig
clusterName: "kubernetes"
# Буде використано як "сервер" (IP або DNS-імʼя) цього кластера в kubeconfig
controlPlaneEndpoint: "some-dns-address:6443"
# Ключ і сертифікат ЦС кластера будуть завантажені з цієї локальної теки
certificatesDir: "/etc/kubernetes/pki"
```
Переконайтеся, що ці параметри відповідають бажаним параметрам цільового кластера. Щоб переглянути параметри поточного кластера, скористайтеся:
```shell
kubectl get cm kubeadm-config -n kube-system -o=jsonpath="{.data.ClusterConfiguration}"
```
Наступний приклад згенерує файл kubeconfig з обліковими даними, дійсними протягом 24 годин, для нового користувача `johndoe`, який належить до групи `appdevs`:
```shell
kubeadm kubeconfig user --config example.yaml --org appdevs --client-name johndoe --validity-period 24h
```
Наступний приклад згенерує файл kubeconfig з обліковими даними адміністратора, дійсними протягом 1 тижня:
```shell
kubeadm kubeconfig user --config example.yaml --client-name admin --validity-period 168h
```
## Підписування запитів на підпис сертифікатів (CSR), згенерованих kubeadm {#signing-csr}
Ви можете створювати запити на підпис сертифікатів за допомогою `kubeadm certs generate-csr`. Виклик цієї команди згенерує пари файлів `.csr` / `.key` для звичайних сертифікатів. Для сертифікатів, вбудованих у файли kubeconfig, команда згенерує пару файлів `.csr` / `.conf`, де ключ вже вбудований у файл `.conf`.
Файл CSR містить всю необхідну інформацію для ЦС для підпису сертифіката. kubeadm використовує [чітко визначену специфікацію](/docs/setup/best-practices/certificates/#all-certificates) для всіх своїх сертифікатів і CSR.
Типовою текою для сертифікатів є `/etc/kubernetes/pki`, тоді як типова тека для файлів kubeconfig є `/etc/kubernetes`. Ці стандартні значення можна змінити за допомогою прапорців `--cert-dir` та `--kubeconfig-dir`, відповідно.
Для передачі власних параметрів команді `kubeadm certs generate-csr` використовуйте прапорець `--config`, який приймає файл [конфігурації kubeadm](/docs/reference/config-api/kubeadm-config.v1beta4/), так само як і команди, такі як `kubeadm init`. Будь-яка специфікація, така як додаткові SAN та власні IP-адреси, повинна зберігатися в тому ж файлі конфігурації та використовуватися для всіх відповідних команд kubeadm, передаючи його як `--config`.
Примітка:
У цьому керівництві буде використано стандартну теку Kubernetes /etc/kubernetes, що вимагає прав доступу суперкористувача. Якщо ви дотримуєтесь цього керівництва та використовуєте теки, в яки ви можете писати, (зазвичай, це означає виконання kubeadm з --cert-dir та --kubeconfig-dir), ви можете пропустити команду sudo.
Потім ви повинні скопіювати створені файли до теки /etc/kubernetes, щоб kubeadm init або kubeadm join могли їх знайти.
Примітка:
Якщо ви використовуєте зовнішній ЦС, вам потрібно згенерувати ті ж самі файли окремо та вручну скопіювати їх на головний вузол панелі управління у /etc/kubernetes.
Після підписання всіх CSR ви можете видалити ключ кореневого ЦС (ca.key), як зазначено у розділі Режим зовнішнього ЦС.
Примітка:
Ви повинні обробити файл kubelet.conf.csr на первинному вузлі панелі управління (хост, на якому ви спочатку запустили kubeadm init). Це повʼязано з тим, що kubeadm розглядає цей вузол як вузол, з якого завантажується кластер, і попередньо заповнений файл kubelet.conf потрібен.
#### Вузли панелі управління {#control-plane-nodes}
Виконайте наступну команду на головному (`kubeadm init`) та вторинних (`kubeadm join --control-plane`) вузлах панелі управління, щоб згенерувати всі файли CSR:
```shell
sudo kubeadm certs generate-csr
```
Якщо має використовуватися зовнішній etcd, дотримуйтесь керівництва [Зовнішній etcd з kubeadm](/docs/setup/production-environment/tools/kubeadm/high-availability/#external-etcd-nodes), щоб зрозуміти, які файли CSR потрібні на вузлах kubeadm та etcd. Інші файли `.csr` та `.key` у теці `/etc/kubernetes/pki/etcd` можна видалити.
Виходячи з пояснення у розділі [Врахування kubelet.conf](#considerations-kubelet-conf), збережіть або видаліть файли `kubelet.conf` та `kubelet.conf.csr`.
#### Робочі вузли {#worker-nodes}
Згідно з поясненням у розділі [Врахування kubelet.conf](#considerations-kubelet-conf), за необхідності викличте:
```shell
sudo kubeadm certs generate-csr
```
та залиште лише файли `kubelet.conf` та `kubelet.conf.csr`. Альтернативно, повністю пропустіть кроки для робочих вузлів.
### Підписання CSR для всіх сертифікатів {#signing-csrs-for-all-certificates}
Примітка:
Якщо ви використовуєте зовнішній ЦС та вже маєте файли серійних номерів ЦС (.srl) для openssl, ви можете скопіювати такі файли на вузол kubeadm, де будуть оброблятися CSR. Файли .srl, які потрібно скопіювати, це: /etc/kubernetes/pki/ca.srl, /etc/kubernetes/pki/front-proxy-ca.srl та /etc/kubernetes/pki/etcd/ca.srl. Потім файли можна перемістити на новий вузол, де будуть оброблятися файли CSR.
Якщо файл .srl для ЦС відсутній на вузлі, скрипт нижче згенерує новий файл SRL з випадковим початковим серійним номером.
Щоб дізнатися більше про файли .srl, дивіться документацію openssl для прапорця --CAserial.