Kubernetes 使用 X.509 客户端证书进行身份验证是一种常见的方法。这种机制通过客户端证书来验证用户或应用程序的身份。以下是 Kubernetes 中 X.509 客户端证书验证机制的详细说明：
1. 生成客户端证书
首先，你需要生成客户端证书和私钥。这通常使用 OpenSSL 工具完成。
步骤：
-
生成私钥：
openssl genpkey -algorithm RSA -out client-key.pem -
生成证书签名请求 (CSR)：
openssl req -new -key client-key.pem -out client-csr.pem在生成 CSR 时，你需要提供一些信息，例如 Common Name (CN)。CN 通常用于标识用户- 这个cn标识的用户一般都是rbca中 指定的user: xxxx
-
生成客户端证书：
使用 CA（k8s中的根证书）的私钥签署 CSR，生成客户端证书。
openssl x509 -req -in client-csr.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 365其中：
ca-cert.pem是 CA 的证书。ca-key.pem是 CA 的私钥。
2. 配置 Kubernetes API Server
为了让 Kubernetes API Server 接受客户端证书，你需要在启动 API Server 时指定 CA 证书。
步骤：
-
启动 API Server：
在启动 Kubernetes API Server 时，使用
--client-ca-file参数指定 CA 证书的位置。例如：kube-apiserver --client-ca-file=/path/to/ca-cert.pem ...这告诉 API Server 使用指定的 CA 证书来验证客户端证书，
-
默认情况k8s中的配置如下： - --client-ca-file=/etc/kubernetes/pki/ca.crt
3. 创建 kubeconfig 文件
为了使用客户端证书访问 Kubernetes 集群，你需要创建一个 kubeconfig 文件，并在其中指定客户端证书和私钥。
步骤：
-
创建
kubeconfig文件：使用以下命令生成
kubeconfig文件：kubectl config set-credentials my-user --client-certificate=/path/to/client-cert.pem --client-key=/path/to/client-key.pem kubectl config set-cluster my-cluster --server=https://<API_SERVER_HOST>:<API_SERVER_PORT> --certificate-authority=/path/to/ca-cert.pem kubectl config set-context my-context --cluster=my-cluster --user=my-user kubectl config use-context my-context其中：
my-user是用户名。my-cluster是集群名称。my-context是上下文名称。<API_SERVER_HOST>和<API_SERVER_PORT>是 Kubernetes API Server 的主机和端口。/path/to/client-cert.pem是客户端证书的路径。/path/to/client-key.pem是客户端私钥的路径。/path/to/ca-cert.pem是 CA 证书的路径。
4. 验证客户端证书
当客户端尝试访问 Kubernetes API Server 时，API Server 会使用指定的 CA 证书来验证客户端证书。验证过程包括以下几个步骤：
- 证书链验证：API Server 验证客户端证书是否由指定的 CA 签发。
- 证书有效期验证：API Server 验证客户端证书是否在有效期内。
- 证书撤销列表 (CRL) 验证（可选）：API Server 验证客户端证书是否已被撤销。
- 权限验证：API Server 验证客户端证书中的用户是否有权限执行请求的操作。
5. 示例 kubeconfig 文件
以下是一个完整的 kubeconfig 文件示例：
apiVersion: v1
kind: Config
clusters:
- name: my-clustercluster:certificate-authority-data: <base64-encoded-ca-cert>server: https://<API_SERVER_HOST>:<API_SERVER_PORT>
contexts:
- name: my-contextcontext:cluster: my-clusteruser: my-user
current-context: my-context
users:
- name: my-useruser:client-certificate-data: <base64-encoded-client-cert>client-key-data: <base64-encoded-client-key>
