这个东西的作用有：

1. 在新部署k8s集群时，就生成30年证书。这样就不用1年后为kubelet更换证书。

2. 在证书快到期时，手动生成新证书，替换原证书（不需要替换key），这样只需要重启（服务器或kubelet服务）就能使用新证书，不用等到证书过期，节点被踢出k8s集群，再重新生成。

 

1. 沿用kubelet原有的ecc算法生成的 key，假设为kubelet-client.key。生成一个csr

2. 生成csr之前，通过ini格式，配置一个req配置文件。

cat req.conf

[req]

prompt = no

distinguished_name = dn

input_password = 123456  #这个密码好像没啥用

 

[dn]

O = system:nodes

CN = system:node:192.168.1.93

生成csr的命令为：

openssl req -new -sha256 -key kubelet-client.key -config req.conf -out newcsr

其中，kubelet-client.key是原本的kubelet使用的key。新生成的csr是newcsr。

 

生成csr后，可以用命令看一下其内容：

openssl req -in newcsr -text

Certificate Request:

Data:

Version: 1 (0x0)

Subject: O = system:nodes, CN = system:node:192.168.1.93

Subject Public Key Info:

Public Key Algorithm: id-ecPublicKey

Public-Key: (256 bit)

pub:
 

04:0b:d4:09:62:a5:d5:bb:aa:bf:2a:9a:7e:f7:01:

xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

xx:xx:xx:xx:xx

ASN1 OID: prime256v1

NIST CURVE: P-256

Attributes:

a0:00

Signature Algorithm: ecdsa-with-SHA256

31:47:12:21:00:dd:9f:05:fd:82:7e:53:b7:f3:0c:d5:02:fb:

71:f9:cb:ec:bd:0b:f4:c5:b4:b1:62:21:e0:f9:92:6d:9d:be:

xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:x:
 

 

3. 根据csr，使用ca的key和证书颁发新证书

由于kubelet使用v3版本的x509格式。因此v3的额外参数文件v3.ext如下：

cat v3.ext

 

keyUsage=critical,Digital Signature, Key Encipherment

extendedKeyUsage=TLS Web Client Authentication

basicConstraints=critical,CA:FALSE

subjectKeyIdentifier=hash

authorityKeyIdentifier=keyid,issuer

 

最后颁发证书的命令为：

openssl x509 -req -in newcsr -CA  ca.pem -CAkey ca-key.pem -out kubelet-c.crt --days 10950 -extfile v3.ext

其中，10950 days是表示30年有效期。

 

如果报错ca.srl: No such file or directory

那么 echo "01" > ca.srl 即可，这个文件影响到ca颁发的证书的序号，而证书序号应该是唯一的，所以这点需要控制好。

 

用命令查看生成的证书：

openssl x509 -in kubelet-c.crt -text

Certificate:

Data:

Version: 3 (0x2)

Serial Number: 6 (0x6)

Signature Algorithm: sha256WithRSAEncryption

Issuer: C = CN, ST = ST, L = L, O = example, OU = System, CN = www.example.com

Validity

Not Before: Mar 27 08:48:42 2020 GMT

Not After : Mar 25 08:48:42 2050 GMT

Subject: O = system:nodes, CN = system:node:192.168.1.99

Subject Public Key Info:

Public Key Algorithm: id-ecPublicKey

Public-Key: (256 bit)

pub:

04:0b:d4:09:62:a5:d5:bb:aa:bf:2a:9a:7e:f7:01:

16:34:27:4e:79:32:05:8b:de:d3:d3:37:9a:ff:39:

ASN1 OID: prime256v1

NIST CURVE: P-256

X509v3 extensions:

X509v3 Key Usage: critical

Digital Signature, Key Encipherment

X509v3 Extended Key Usage:

TLS Web Client Authentication

X509v3 Basic Constraints: critical

CA:FALSE

X509v3 Subject Key Identifier:

58:E3:90:CB:75:E5:C1:78:42:4

X509v3 Authority Key Identifier:

keyid:68:FF:FE:FE:57:87:9B:08

Signature Algorithm: sha256WithRSAEncryption

53:a8:72:1d:62:1f:9b:b3:3e:a8:c1:4a:6e:91:ea:20:30:d0:

51:7d:78:4a:8f:a4:72:1a:98:12:51:b1:63:c4:3a:c9:c0:7c:

 

其他：

用现有证书和key生成csr的命令为：

openssl x509 -x509toreq -in kubelet-client.crt -out req.pem -signkey kubelet-client.key

这个req.pem就和上文中的newcsr是一样的。