kubeadm certs надає утиліти для керування сертифікатами.
Для отримання детальної інформації про використання цих команд дивіться
Керування сертифікатами за допомогою kubeadm.
Набір операцій для роботи з сертифікатами Kubernetes.
Ви можете поновити всі сертифікати Kubernetes, використовуючи підкоманду all, або поновити їх вибірково.
Для отримання детальної інформації дивіться Ручне поновлення сертифікатів.
Поновлення сертифікатів для кластера Kubernetes
kubeadm certs renew [flags]
| -h, --help | |
довідка для renew |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлення всіх доступних сертифікатів
Поновлює всі відомі сертифікати, необхідні для роботи панелі управління. Поновлення виконується безумовно, незалежно від дати закінчення терміну дії. Поновлення також можна виконувати окремо для більшого контролю.
kubeadm certs renew all [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для all |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат, вбудований у файл kubeconfig для використання адміністратором і для самого kubeadm.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew admin.conf [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для admin.conf |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат, який apiserver використовує для доступу до etcd.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew apiserver-etcd-client [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для apiserver-etcd-client |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат, який API-сервер використовує для підключення до kubelet.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew apiserver-kubelet-client [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для apiserver-kubelet-client |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат для обслуговування API Kubernetes.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew apiserver [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для apiserver |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат, вбудований у файл kubeconfig для використання менеджером контролерів.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew controller-manager.conf [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для controller-manager.conf |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат для проб життєздатності для перевірки стану справності etcd.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew etcd-healthcheck-client [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для etcd-healthcheck-client |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат для вузлів etcd, щоб вони могли взаємодіяти один з одним.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew etcd-peer [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для etcd-peer |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат для обслуговування etcd.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew etcd-server [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для etcd-server |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлення сертифіката клієнта front proxy.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew front-proxy-client [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для front-proxy-client |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат, вбудований у файл kubeconfig для використання менеджером планувальника.
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew scheduler.conf [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для scheduler.conf |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Поновлює сертифікат, вбудований у файл kubeconfig для суперадміністратора (super-admin).
Поновлення виконується безумовно, незалежно від дати закінчення терміну дії сертифіката; додаткові атрибути, такі як SAN, будуть базуватися на наявних файлах/сертифікатах, нема потреби вказувати їх повторно.
Типово поновлення намагається використовувати центр сертифікації в локальному PKI, керованому kubeadm; як альтернативу можна використовувати API сертифікатів K8s для поновлення сертифікатів, або, як останній варіант, згенерувати CSR-запит.
Після поновлення, щоб зміни набули чинності, необхідно перезапустити компоненти панелі управління та, за потреби, повторно розповсюдити поновлений сертифікат, якщо файл використовується деінде.
kubeadm certs renew super-admin.conf [flags]
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для super-admin.conf |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Цю команду можна використовувати для створення нового ключа сертифіката панелі управління.
Ключ можна передати як --certificate-key до kubeadm init
та kubeadm join,
щоб увімкнути автоматичне копіювання сертифікатів під час приєднання додаткових вузлів панелі управління.
Генерує ключі сертифікатів
Ця команда виведе захищений випадково згенерований ключ сертифіката, який можна використовувати з командою "init".
Ви також можете скористатися командою "kubeadm init --upload-certs" без зазначення ключа сертифіката, і вона згенерує і виведе його для вас.
kubeadm certs certificate-key [flags]
| -h, --help | |
довідка для certificate-key |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Ця команда перевіряє термін дії сертифікатів у локальному PKI, яким керує kubeadm. Для отримання детальної інформації дивіться Перевірка терміну дії сертифікатів.
Перевіряє термін дії сертифікатів для кластера Kubernetes
Перевіряє термін дії сертифікатів у локальному PKI, яким керує kubeadm.
kubeadm certs check-expiration [flags]
| --allow-missing-template-keys Типово: true | |
Якщо true, ігнорувати будь-які помилки в шаблонах, коли поле або ключ map відсутні в шаблоні. Застосовується тільки до форматів виведення golang і jsonpath. |
|
| --cert-dir string Типово: "/etc/kubernetes/pki" | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для check-expiration |
|
| --kubeconfig string Типово: "/etc/kubernetes/admin.conf" | |
Файл kubeconfig, який використовується для спілкування з кластером. Якщо прапорець не встановлено, може бути переглянутий набір стандартних місць для пошуку наявного файлу kubeconfig. |
|
| -o, --output string Типово: "text" | |
Формат виводу. Один з: text|json|yaml|kyaml|go-template|go-template-file|template|templatefile|jsonpath|jsonpath-as-json|jsonpath-file. |
|
| --show-managed-fields | |
Якщо true, залишати managedFields при виведенні обʼєктів у форматі JSON або YAML. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
Цю команду можна використовувати для створення ключів і CSR для всіх сертифікатів панелі управління та файлів kubeconfig. Після цього користувач може підписати CSR за допомогою центру сертифікації (CA) на свій вибір. Докладніше про використання команди дивіться в розділі Підписання запитів на підписання сертифікатів (CSR), створених kubeadm.
Генерує ключі та запити на підписання сертифікатів
Генерує ключі та запити на підписання сертифікатів (CSR) для всіх сертифікатів, необхідних для роботи панелі управління. Ця команда також генерує часткові файли kubeconfig з даними приватного ключа в полі "users > user > client-key-data", і для кожного файлу kubeconfig створюється супутній файл ".csr".
Ця команда призначена для використання в режимі зовнішнього CA kubeadm. Вона генерує CSR, які ви потім можете подати на підписання до вашого зовнішнього центру сертифікації.
Закодовані в PEM підписані сертифікати повинні бути збережені поруч з файлами ключів, використовуючи ".crt" як розширення файлу, або, у випадку з файлами kubeconfig, закодований в PEM підписаний сертифікат повинен бути закодований у base64 і доданий до файлу kubeconfig в полі "users > user > client-certificate-data".
kubeadm certs generate-csr [flags]
# The following command will generate keys and CSRs for all control-plane certificates and kubeconfig files:
kubeadm certs generate-csr --kubeconfig-dir /tmp/etc-k8s --cert-dir /tmp/etc-k8s/pki
| --cert-dir string | |
Шлях, де будуть збережені сертифікати |
|
| --config string | |
Шлях до конфігураційного файлу kubeadm. |
|
| -h, --help | |
довідка для generate-csr |
|
| --kubeconfig-dir string Типово: "/etc/kubernetes" | |
Шлях, де буде збережено файл kubeconfig. |
|
| --rootfs string | |
Шлях до 'справжньої' кореневої файлової системи хоста. Це змусить kubeadm виконати chroot у вказаний шлях. |
|
kubeadm init або kubeadm join