Привет. Подскажите по kubeadm с режимом external pki плиз) Ключи

ну я такое наизусть не учу =). Зачем это помнить если можно посмотреть в kubeadm сетапах эти ключи для kube-controller-manager используется (только что проверил)

0

13.05.2022

George Gaál

Dmitry Sergeev 🇺🇦
ну я такое наизусть не учу =). Зачем это помнить е...

Мо быть )

0

13.05.2022

Alex R Автор вопроса

Dmitry Sergeev 🇺🇦
а sa.pub и sa.key кому скармливаются и кем использ...

это вроде ключ для подписи Service Account ов, судя по доке. Да тут в компании, где делаю кластер, уже есть PKI и нужно кубер в нее интегрировать. Безопасник требует выпускать отдельные серты под каждый сервер (ну и софтины на них). Собсно, вопрос если если ServiceAccountы будут полписаны разными ключами, не вызовет ли это проблем?

0

13.05.2022

Dmitry Sergeev 🇺🇦

George Gaál
Мо быть )

sa.pub - это -service-account-key-file - в kube-api-server sa.key - это --service-account-private-key-file в kube-controller-manager

0

13.05.2022

George Gaál

Alex R
это вроде ключ для подписи Service Account ов, суд...

Так у них общая точка доверия - общий УЦ, или нет?

0

13.05.2022

Alex R Автор вопроса

George Gaál
Так у них общая точка доверия - общий УЦ, или нет?

ага, она лежит в волте и жетско контролируется) Вопрос, в том, что если с какого одного контрол плецн сервака утечет ключ, я могу остановить его, перевыпустить все серты и заново залить. Без простоя всего кластера.

0

13.05.2022

Dmitry Sergeev 🇺🇦

Alex R
это вроде ключ для подписи Service Account ов, суд...

Да, тоже доку глянул. В таком случае по логике они должны быть одинаковые для всех kube-apiservers и kube-controller-managers Иначе были бы проблемы попади запрос в разные kube-apiserver'а Ну и по факту kubeadm делает их одинаковыми

0

13.05.2022

Alex R Автор вопроса

Dmitry Sergeev 🇺🇦
Да, тоже доку глянул. В таком случае по логике они...

да, вот

0

13.05.2022

George Gaál

Alex R
ага, она лежит в волте и жетско контролируется) ...

Не можешь

0

13.05.2022

Dmitry Sergeev 🇺🇦

Alex R
это вроде ключ для подписи Service Account ов, суд...

ну тут безопаснику можно рассказать, что софтина как бы одна - kube-controller-manager и kube-apiserver, просто реплик этой софтины может быть несколько для HA. Это тоже самое что требовать для 10 nginx'ов за nlb, разные сертификаты для одного домена использовать (бред же, верно?)

0

13.05.2022

Alex R Автор вопроса

Dmitry Sergeev 🇺🇦
ну тут безопаснику можно рассказать, что софтина к...

да, именно так !

0

13.05.2022

George Gaál

Dmitry Sergeev 🇺🇦
ну тут безопаснику можно рассказать, что софтина к...

Не бред

0

13.05.2022