8.2. 添加 API 服务器证书

流程

1. 创建一个包含 openshift-config 命名空间中证书链和密钥的 secret。

   $ oc create secret tls <secret> \1
        --cert=</path/to/cert.crt> \2
        --key=</path/to/cert.key> \3
        -n openshift-config

   1

   <secret> 是将要包含证书链和私钥的 secret 的名称。

   2

   </path/to/cert.crt> 是证书链在本地文件系统中的路径。

   3

   </path/to/cert.key> 是与此证书关联的私钥的路径。

2. 更新 API 服务器以引用所创建的 secret。

   $ oc patch apiserver cluster \
        --type=merge -p \
        '{"spec":{"servingCerts": {"namedCertificates":
        [{"names": ["<FQDN>"], 1
        "servingCertificate": {"name": "<secret>"}}]}}}' 2

   1

   将 <FQDN> 替换为 API 服务器应为其提供证书的 FQDN。

   2

   将 <secret> 替换为上一步中用于 secret 的名称。

3. 检查 apiserver/cluster 对象并确认该 secret 现已被引用。

   $ oc get apiserver cluster -o yaml
   ...
   spec:
     servingCerts:
       namedCertificates:
       - names:
         - <FQDN>
         servingCertificate:
           name: <secret>
   ...