k8s的证书管理

引言

Kubernetes（K8s）是一款开源的容器编排平台，具有强大的集群管理和安全机制。在Kubernetes集群中，证书管理是一个关键的安全组成部分，用于保障集群通信的安全性和可信度。本文将深入讨论Kubernetes中的证书管理，包括证书的生成、颁发、续期以及如何在实际应用中进行合理配置，同时提供详细的示例演示证书管理的具体操作。

什么是证书管理？

证书管理是指在Kubernetes集群中有效、安全地管理证书的过程。在集群中的各个组件之间以及与外部系统的通信中，通常使用证书来确保通信的安全性。证书管理包括证书的生成、颁发、更新和撤销等操作，以及相关的安全策略。

在Kubernetes中，常见的证书使用场景包括：

API Server 证书：用于加密和保护 Kubernetes API Server 与其他组件之间的通信。
etcd 证书：用于保护 etcd 数据库的通信，确保集群状态的安全。
kubelet 证书：用于 kubelet 与 API Server 之间的通信，以及节点与控制平面之间的安全通信。

证书管理的基本流程

证书管理的基本流程包括证书的生成、签发、使用以及更新。以下是证书管理的基本步骤：

证书生成

证书生成是指创建用于加密通信的证书和私钥。通常使用工具如 OpenSSL 或 cfssl 进行生成。生成的证书包括公钥（用于加密）和私钥（用于解密），私钥应该妥善保存。

1 2	# 使用 OpenSSL 生成证书和私钥的示例 openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout key.pem -out cert.pem

证书签发

证书签发是指使用证书颁发机构（CA）对生成的证书进行签名，以确保证书的可信度。Kubernetes 使用的证书签发通常由集群中的工具或服务自动完成，也可以使用自签名证书。

证书使用

签发后的证书用于加密和验证通信。各个组件通过使用对应的证书进行身份验证和加密通信，确保通信的安全性。

证书更新

证书有一定的有效期，因此需要定期更新。证书更新可以通过颁发新的证书，并确保新证书在过渡期内逐渐替代旧证书。

Kubernetes 证书管理示例

生成自签名证书

首先，我们通过 OpenSSL 工具生成一个自签名的证书和私钥。

# 生成私钥
openssl genpkey -algorithm RSA -out private-key.pem

# 生成证书请求
openssl req -new -key private-key.pem -out certificate.csr

# 自签名证书
openssl x509 -req -in certificate.csr -signkey private-key.pem -out certificate.crt

使用自签名证书

在 Kubernetes 中，可以将生成的自签名证书用于某个组件的 TLS 配置。以下是一个使用自签名证书配置 Kubernetes API Server 的示例。

apiVersion: v1
kind: Secret
metadata:
  name: tls-secret
type: kubernetes.io/tls
data:
  tls.crt: <base64-encoded-certificate>
  tls.key: <base64-encoded-private-key>

然后，在 API Server 的配置文件中引用该 Secret。

apiVersion: v1
kind: Pod
metadata:
  name: kube-apiserver
spec:
  containers:
  - name: kube-apiserver
    image: kube-apiserver:latest
    volumeMounts:
    - name: tls-secret
      mountPath: /etc/tls
      readOnly: true
  volumes:
  - name: tls-secret
    secret:
      secretName: tls-secret

部署使用证书的应用

在应用的部署配置中，可以指定使用某个 Secret 中的证书。以下是一个 Deployment 使用证书的示例。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: sample-app
spec:
  replicas: 3
  template:
    metadata:
      labels:
        app: sample-app
    spec:
      containers:
      - name: sample-app
        image: sample-app:latest
        ports:
        - containerPort: 80
  template:
    metadata:
      labels:
        app: sample-app
    spec:
      containers:
      - name: sample-app
        image: sample-app:latest
        ports:
        - containerPort: 80
      volumes:
      - name: tls-secret
        secret:
          secretName: tls-secret

在这个示例中，Deployment 使用了一个名为 tls-secret 的 Secret，其中包含了应用所需的证书和私钥。
证书续期与更新

证书续期和更新是证书管理中的重要环节，以确保证书的有效性。续期是指在证书即将过期时，通过颁发机构（CA）签发新证书。而更新是指将新证书应用到集群中的组件。在 Kubernetes 中，通常通过以下步骤进行证书的续期和更新：

颁发新证书：使用 CA 工具颁发新证书。
将新证书存储为 Secret：将新证书和私钥存储为 Kubernetes 的 Secret。

更新使用证书的组件：更新使用证书的组件，引用新的 Secret。

1 2	# 示例：更新 Secret 中的证书 kubectl create secret tls new-tls-secret --cert=new-certificate.crt --key=new-private-key.pem

然后，在使用证书的组件的配置中更新 Secret 的引用。

apiVersion: v1
kind: Pod
metadata:
  name: kube-apiserver
spec:
  containers:
  - name: kube-apiserver
    image: kube-apiserver:latest
    volumeMounts:
    - name: tls-secret
      mountPath: /etc/tls
      readOnly: true
volumes:
- name: tls-secret
  secret:
    secretName: new-tls-secret