kubectl exec 失败 "cannot validate certificate because it doesn't contain any IP SANs"

Question

我正在尝试使用 kubectl exec 进入我的容器之一，但我遇到了这个错误。

$ kubectl exec -it ubuntu -- bash
error: Unable to upgrade connection: {
    "kind": "Status",
    "apiVersion": "v1",
    "metadata": {},
    "status": "Failure",
    "message": "x509: cannot validate certificate for <worker_node_ip> because it doesn't contain any IP SANs",
    "code": 500
}

我已经根据本指南使用我的 CA 证书和管理密钥等配置了 kubectl https://coreos.com/kubernetes/docs/1.0.6/configure-kubectl.html

更新

我在 API 服务器的日志中也发现了同样的错误

E1125 17:33:16.308389 1 errors.go:62] apiserver received an error that is not an unversioned.Status: x509: cannot validate certificate for <worker_node_ip> because it doesn't contain any IP SANs

这是否意味着我在 worker/master 节点或本地计算机上的 kubectl 上错误地配置了证书？

Answer 1

该消息来自试图连接到节点的主节点（流量为 kubectl -> master API -> kubelet -> container）。启动master的时候，你是不是设置了--kubelet_certificate_authority？如果是这样，master 希望能够验证 kubelet 的服务证书，这意味着它需要对 master 用来连接它的 hostnames/IP 地址有效。

Answer 2

如果您使用此命令创建证书：

openssl x509 -req -days 365 -in server.csr -CA ca.pem -CAkey ca-key.pem \
    -CAcreateserial -out server-cert.pem

那么您的问题可以通过执行以下操作来解决，因为 'client' 证书使用 -extfile extfile.cnf:

echo subjectAltName = IP:worker_node_ip > extfile.cnf
openssl x509 -req -days 365 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial \
   -out server-cert.pem -extfile extfile.cnf

您可以指定任意数量的 IP 地址，例如 IP:127.0.0.1，IP:127.0.1.1（非本地主机也是如此）。

Answer 3

如果您将 Kubernetes 与 Google 容器集群一起使用，这可能会像我一样解决问题：

gcloud container clusters get-credentials <cluster-name> \
    --project <project-name> --zone <zone>

kubectl exec 失败 "cannot validate certificate because it doesn't contain any IP SANs"

kubectl exec fails "cannot validate certificate because it doesn't contain any IP SANs"

ssl

kubernetes

更新