2确保将唯一的证书颁发机构用于etcd可信验证-白眉大叔

确保将唯一的证书颁发机构用于etcd可信验证

描述

描述：对etcd使用与Kubernetes所使用的证书颁发机构不同的证书颁发机构。

检查提示

加固建议

查看etcd环境使用的CA，并确保它与Kubernetes使用的CA证书不匹配。

在etcd服务器节点上运行以下命令：

ps -ef | grep etcd查看--trusted-ca-file参数引用的文件，并确保所引用的CA与用于管理整个Kubernetes集群的CA不同。

补救措施：

请遵循etcd文档，并为etcd服务创建专用的证书颁发机构设置，也可参考 https://www.yuque.com/opensource-books/kubernetes-handbook/practice-create-tls-and-secret-key

影响：将需要对专用证书颁发机构的证书和密钥进行其他管理。

方案：

1.在主节点上编辑 etcd 配置文件

/etc/kubernetes/manifests/etcd.yaml

spec:
  containers:
  - command:
    - etcd
	- --trusted-ca-file=</path/to/ca-file>

2.重启k8s服务

systemctl daemon-reload && systemctl restart kubelet

欢迎来撩：汇总all

nginx