无法使用 x509 证书在 Kubernetes 中对用户进行身份验证

Question

我使用的是以下版本：

Client Version: version.Info{Major:"1", Minor:"9", GitVersion:"v1.9.1", GitCommit:"3a1c9449a956b6026f075fa3134ff92f7d55f812", GitTreeState:"clean", BuildDate:"2018-01-04T11:52:23Z", GoVersion:"go1.9.2", Compiler:"gc", Platform:"linux/amd64"}
Server Version: version.Info{Major:"1", Minor:"9", GitVersion:"v1.9.1", GitCommit:"3a1c9449a956b6026f075fa3134ff92f7d55f812", GitTreeState:"clean", BuildDate:"2018-01-04T11:40:06Z", GoVersion:"go1.9.2", Compiler:"gc", Platform:"linux/amd64"}

在这里，我尝试使用我在查看几个在线论坛和 kubernetes 文档时创建的以下自定义脚本来验证使用 x509 证书的用户。

#!/bin/bash

cluster=test-operations-k8
namespace=demo
username=jack


openssl genrsa -out $username.pem 2048


openssl req -new -key $username.pem -out $username.csr -subj "/CN=$username"



cat <<EOF | kubectl create -n $namespace -f -
apiVersion: certificates.k8s.io/v1beta1
kind: CertificateSigningRequest
metadata:
  name: user-request-$username
spec:
  groups:
  - system:authenticated
  request: $(cat $username.csr | base64 | tr -d '\n')
  usages:
  - digital signature
  - key encipherment
  - server auth
EOF



kubectl certificate approve user-request-$username


kubectl get csr user-request-$username -o jsonpath='{.status.certificate}' | base64 -d > $username.crt

kubectl --kubeconfig ~/.kube/config-$username config set-cluster $cluster --insecure-skip-tls-verify=true --server=https://$cluster.eastus.cloudapp.azure.com
kubectl --kubeconfig ~/.kube/config-$username config set-credentials $username --client-certificate=$username.crt --client-key=$username.pem --embed-certs=true
kubectl --kubeconfig ~/.kube/config-$username config set-context $cluster --cluster=$cluster --user=$username
kubectl --kubeconfig ~/.kube/config-$username config use-context $cluster

echo "Config file for $username has been created successfully !"

但是在获取资源时出现以下错误：

error: You must be logged in to the server (Unauthorized)

有人可以告诉我需要做什么来解决这个问题吗？

另请注意，还创建了适当的角色和角色绑定，我没有在此处列出。

Answer 1

确保用于签署 CSR 的 CA（给 kube-controller-manager 的 --cluster-signing-cert-file 文件）在给 kube-apiserver 的 --client-ca-file 包中（这就是验证提交给 apiserver 的客户端证书）

还要确保请求的证书是客户端证书（usages 字段中有 client auth）

无法使用 x509 证书在 Kubernetes 中对用户进行身份验证

Unable to authenticate user in Kubernetes using x509 certs

authentication

x509certificate

kubernetes