3.2. 添加 API 服务器证书

流程

1. 以 kubeadmin 用户身份登录新的 API。

   $ oc login -u kubeadmin -p <password> https://FQDN:6443

2. 获取 kubeconfig 文件。

   $ oc config view --flatten > kubeconfig-newapi

3. 创建一个包含 openshift-config 命名空间中证书链和密钥的 secret。

   $ oc create secret tls <secret> \1
        --cert=</path/to/cert.crt> \2
        --key=</path/to/cert.key> \3
        -n openshift-config

   1

   <secret> 是将要包含证书链和私钥的 secret 的名称。

   2

   </path/to/cert.crt> 是证书链在本地文件系统中的路径。

   3

   </path/to/cert.key> 是与此证书关联的私钥的路径。

4. 更新 API 服务器以引用所创建的 secret。

   $ oc patch apiserver cluster \
        --type=merge -p \
        '{"spec":{"servingCerts": {"namedCertificates":
        [{"names": ["<FQDN>"], 1
        "servingCertificate": {"name": "<secret>"}}]}}}' 2

   1

   将 <FQDN> 替换为 API 服务器应为其提供证书的 FQDN。

   2

   将 <secret> 替换为上一步中用于 secret 的名称。

5. 检查 apiserver/cluster 对象并确认该 secret 现已被引用。

   $ oc get apiserver cluster -o yaml

   输出示例

   ...
   spec:
     servingCerts:
       namedCertificates:
       - names:
         - <FQDN>
         servingCertificate:
           name: <secret>
   ...

6. 检查 kube-apiserver operator，并验证 Kubernetes API 服务器的新修订版本是否已推出。可能需要一分钟时间，Operator 才会检测配置更改并触发新部署。当新修订版本被推出时，PROGRESSING 会报告 True。

   $ oc get clusteroperators kube-apiserver

   在 PROGRESSING 列为 False 前不要继续进入下一步，如下所示：

   输出示例

   NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   kube-apiserver   4.12.0     True        False         False      145m

   如果 PROGRESSING 显示为 True，请等待几分钟后再试一次。

   注意

   只有在第一次添加了名为 certificate 的 API 服务器时，Kubernetes API 服务器才会推出新的修订版本。当名为 certificate 的 API 服务器被续订时，Kubernetes API 服务器的新修订版本不会推出，因为 kube-apiserver pod 会动态重新载入更新的证书。