一文掌握 Kubernetes 证书

如果你正在自己的环境中运行 Kubernetes，那么了解证书的工作原理以及如何管理它们以确保集群的安全性和完整性至关重要。在本文中，我们将解释什么是 Kubernetes 证书、其重要性，以及如何检查和更新 kube-apiserver 服务器证书。

Kubernetes 证书在确保 Kubernetes 平台不同组件之间的通信安全方面发挥着至关重要的作用。它们有助于建立安全连接、加密传输中的数据并验证 Kubernetes 组件的身份。如果没有适当的证书管理，您的集群就可能面临未经授权的访问、数据泄露和其他安全威胁。

假设您有一个运行多个应用程序的 Kubernetes 集群，每个应用程序都包含敏感的客户数据。用于验证 API 服务器的 kube-apiserver 服务器证书过期后没有更新。这可能会导致组件之间的通信中断，使您的集群容易受到威胁。必须积极主动地管理证书，以防止此类安全风险。

什么是 Kubernetes 证书？

Kubernetes 证书是用于 Kubernetes 集群中身份验证、授权和加密的数字文档。它们用于验证集群中节点、用户和服务等各种实体的身份。Kubernetes 证书基于 X.509 标准，这是一种广泛使用的公钥基础设施（PKI）证书格式。

Kubernetes 证书由两个主要部分组成：私钥和公钥。私钥保密，用于签署和解密数据，而公钥广泛共享，用于验证签名和加密数据。

Kubernetes 证书的类型

Kubernetes 集群中使用的证书有几种类型，每种类型都有特定用途：

节点证书：这些证书也被称为 kubelet 证书，Kubernetes 节点使用这些证书向控制平面验证自己的身份。节点证书由群集的证书颁发机构（CA）生成和管理，用于节点与控制平面组件之间的安全通信。
用户证书：用户证书用于对 Kubernetes 集群的用户（如管理员和开发人员）进行身份验证。这些证书通常由集群的 CA 签发，用于用户通过 Kubernetes API 服务器或其他 Kubernetes 组件与集群交互时的身份验证。
服务账户证书：服务账户证书用于验证集群内运行的 Kubernetes 服务和应用程序。它们由 Kubernetes 为每个服务账户自动创建，用于验证集群内服务与服务之间的通信。
API 服务器证书：API 服务器证书用于确保 Kubernetes API 服务器与 kubelet、etcd 和控制器等其他 Kubernetes 组件之间的通信安全。这些证书由集群的 CA 签发，对于确保 Kubernetes 集群控制平面的安全至关重要。
Etcd 证书：Etcd 是 Kubernetes 用于存储集群配置数据的分布式键值存储。Etcd 证书用于确保 etcd 节点与集群中其他组件之间的通信安全。这些证书由集群的 CA 生成和管理，在确保 Kubernetes 集群配置数据的安全方面发挥着至关重要的作用。

为什么 Kubernetes 证书很重要？

Kubernetes 证书之所以重要，有几个原因。首先，它们有助于确保跨 Kubernetes 集群传输数据的安全性。Kubernetes 证书在数据在组件间移动时对其进行加密，有助于防止未经授权访问敏感数据。

其次，Kubernetes 证书有助于验证 Kubernetes 组件的身份。通过确保每个组件的真实身份，Kubernetes 证书有助于防止恶意行为者冒充合法组件并获取敏感数据。

最后，Kubernetes 证书有助于确保 Kubernetes 集群的整体安全性。通过在不同组件之间建立安全连接，Kubernetes 证书有助于防止可能危及整个集群的威胁。

检查证书有效期

你可以使用 OpenSSL 或 CFSSL 轻松检查 kube-apiserver 服务器证书的过期日期。通过运行一个简单的命令，就能提取证书并查看其到期日期。例如，使用 OpenSSL，可以运行以下命令。

openssl x509 -noout -enddate -in /etc/kubernetes/pki/apiserver.crt

notAfter=Mar  8 12:50:57 2024 GMT

这将显示证书的到期日期。同样，使用 CFSSL 也可以运行以下命令，查看到期日期。跟踪这个日期并在过期前更新证书对维护集群安全很重要。

cfssl-certinfo -cert /etc/kubernetes/pki/apiserver.crt

从 kubeadm 获取过期日期：

[check-expiration] Reading configuration from the cluster...

[check-expiration] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'

CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY   EXTERNALLY MANAGED

admin.conf                 Mar 08, 2024 12:52 UTC   323d            ca                      no

apiserver                  Mar 08, 2024 12:50 UTC   323d            ca                      no

apiserver-etcd-client      Mar 08, 2024 12:50 UTC   323d            etcd-ca                 no

apiserver-kubelet-client   Mar 08, 2024 12:50 UTC   323d            ca                      no

controller-manager.conf    Mar 08, 2024 12:51 UTC   323d            ca                      no

etcd-healthcheck-client    Feb 19, 2024 22:33 UTC   305d            etcd-ca                 no

etcd-peer                  Feb 19, 2024 22:33 UTC   305d            etcd-ca                 no

etcd-server                Feb 19, 2024 22:33 UTC   305d            etcd-ca                 no

front-proxy-client         Mar 08, 2024 12:50 UTC   323d            front-proxy-ca          no

scheduler.conf             Mar 08, 2024 12:52 UTC   323d            ca                      no

CERTIFICATE AUTHORITY   EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGED

ca                      Feb 08, 2033 16:30 UTC   9y              no

etcd-ca                 Feb 08, 2033 16:30 UTC   9y              no

front-proxy-ca          Feb 08, 2033 16:30 UTC   9y              no

更新证书

使用 kubeadm 命令更新 kube-apiserver 服务器证书是一个简单的过程。你可以运行 "kubeadm certs renew apiserver "来更新证书，并用新的到期日期更新证书。

kubeadm certs renew apiserver

[renew] Reading configuration from the cluster...

[renew] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'

certificate for serving the Kubernetes API renewed

在证书过期前更新证书，就能确保 Kubernetes 集群的持续安全和平稳运行。

总之，Kubernetes 证书是确保 Kubernetes 集群安全的重要组成部分。通过了解它们是什么、为什么重要以及如何管理它们，你可以保证集群的安全，并保护你的应用程序和数据免受潜在的安全风险。定期检查和更新 kube-apiserver 服务器证书是确保集群持续安全的必要做法。因此，不要忽视证书管理，确保你的 Kubernetes 集群安全！

操作要点

使用 OpenSSL 或 CFSSL 定期检查 kube-apiserver 服务器证书的过期日期。
在过期前使用 kubeadm 命令更新证书。
跟踪 Kubernetes 集群中所有证书的到期日期，确保及时更新。
随时更新 Kubernetes 安全的最佳实践，并严格遵守，以保护您的群集。
定期审查和更新 Kubernetes 群集的安全措施，以防范潜在的安全威胁。

希望这篇文章能为您提供有关 Kubernetes 证书及其在保护集群安全方面的重要性的宝贵见解。请记住，积极主动的证书管理方法对于维护 Kubernetes 环境的安全性和完整性至关重要。保持警惕，确保集群安全！