生成SSL证书

参考: Google云创建ssl证书

制作私钥证书key

# 使用rsa算法2048位生成key
openssl genrsa -out test-ingress-1.key 2048

制作公钥证书crt

# 使用key生成crt
openssl req -new -x509 -days 3650 -key ingress.key -out ingress.crt

将key和crt转换为pem

# 将key转换为pem
openssl rsa -in example.key -out example.pem

# 将crt转换为pem
openssl x509 -in example.crt -out example.pem

# 合并key和crt为一个pem文件
#cat my_site.pem ca_chain.pem my_site.key > combined_cert.pem

k8s将证书保存到Secret

# 保存证书到Secret
kubectl create secret tls 证书名 --cert=tls.crt --key=tls.key

# 批准证书
kubectl certificate approve node-csr-xxx

证书过期排查

kube-controller-manager -> experimental-cluster-signing-duration组件配置参数用于调整Kubernetes中CertificateSigningRequest实例签发证书的过期时间.