4.9. Machine Config Operator 证书

此证书颁发机构用于在初始置备过程中保护从节点到机器配置服务器 (MCS) 的连接。

有两个证书：自签名 CA MCS CA。一个派生的证书 MCS 证书

使用 Red Hat Enterprise Linux CoreOS (RHCOS) 的 OpenShift Container Platform 安装会使用 Ignition 安装。这个过程分为两个部分：

创建 Ignition 配置来引用 MCS 提供的完整配置的 URL。
对于用户置备的 infrastucture 安装方法，Ignition 配置清单作为 openshift-install 命令创建的 worker.ign 文件。对于使用 Machine API Operator 的安装程序置备的基础架构安装方法，此配置显示为 worker-user-data secret。

重要

目前，不支持阻止或限制机器配置服务器端点。机器配置服务器必须公开给网络，以便新置备的机器没有现有配置或状态，才能获取其配置。在这个模型中，信任的根是证书签名请求 (CSR) 端点，即 kubelet 发送其证书签名请求以批准加入集群。因此，机器配置不应用于分发敏感信息，如 secret 和证书。

为确保机器配置服务器端点，端口 22623 和 22624 在裸机场景中是安全的，客户必须配置正确的网络策略。

其他资源

MCS CA 在 security.tls.certificateAuthorities 配置字段下注入 Ignition 配置。然后，MCS 使用 web 服务器提供的 MCS 证书提供完整的配置。

客户端会验证服务器提供的 MCS 证书对它可识别的颁发机构有信任链。在这种情况下，MCS CA 是颁发机构，它会签署 MCS 证书。这样可确保客户端正在访问正确的服务器。在这种情况下，客户端是在 initramfs 的机器上运行的 Ignition。

MCS CA 出现在集群中作为 kube-system 命名空间 root-ca 对象（带有 ca.crt 键）的配置映射。私钥不会存储在集群中，并在安装完成后丢弃。

MCS 证书在集群中作为 openshift-machine-config-operator 命名空间中的 secret 出现，machine-config-server-tls 对象中带有 tls.crt 和 tls.key。

目前还不支持直接修改其中任何一个证书。

MCS CA 有效期为 10 年。

发布的服务证书有效期为 10 年。

您无法自定义 Machine Config Operator 证书。