1

etcd以下のコマンドでサーバーをセットアップしました。

etcd -name infra0 -initial-advertise-peer-urls http://192.168.99.240:2380 -listen-peer-urls http://192.168.99.240:2380 -listen-client-urls https://192.168.99.240:2379,https://127.0.0.1:2379 -advertise-client-urls https://192.168.99.240:2379 -initial-cluster-token etcd-cluster-1 -initial-cluster infra0=http://192.168.99.240:2380 -initial-cluster-state new -client-cert-auth -trusted-ca-file=/home/docker/ssl/ca.crt -cert-file=/home/docker/ssl/server.crt -key-file=/home/docker/ssl/server.key

そして、私はそれからデータを取得できますcurl:

curl --cacert /home/kubernetes/ssl/server.crt --cert /home/kubernetes/ssl/ca.crt --key /home/kubernetes/ssl/ca.key -L https://192.168.99.240:2379/v2/keys/coreos.com/network/config -XGET

上記のコマンドは次を返します。

{"action":"get","node":{"key":"/coreos.com/network/config","value":"{\"Network\":\"10.0.0.0/8\"}","modifiedIndex":10,"createdIndex":10}}

しかし、私が使用するときetcdctl:

etcdctl --peers=https://192.168.99.240:2379 --ca-file=/home/kubernetes/ssl/server.crt --cert-file=/home/kubernetes/ssl/ca.crt --key-file=/home/kubernetes/ssl/ca.key ls

戻ります:

Error:  client: etcd cluster is unavailable or misconfigured
error #0: x509: cannot validate certificate for 192.168.99.240 because it doesn't contain any IP SANs

証明書の検証に失敗したためだと思ったのに、なぜ--ca-fileフラグがetcdctl有効になるのですか? または、私のコマンドに何か問題がありますか？

私が使用したetcdのバージョンは次のとおりです。

etcdctl --version
etcdctl version 2.2.1
4

1 に答える 1

1

問題が解決しました。

が正常にcurlアクセスできるのにできない理由は、私が使用した自己署名証明書の安全性が十分ではなく、それを無視したためです。etcdetcdctlcurletcdctl

以下は、安全な証明書を生成する手順です（kubernetesのドキュメントからコピーして変更しました）。

まず、次のように変更する必要があります。フラグを に/etc/ssl/openssl.cnf設定し、下に追加します。basicConstraintsCA:TUREsubjectAltName = IP:<MASTER_IP>v3_ca

次に、以下の手順に従って証明書を生成できます。

#1. Generate a ca.key with 2048bit 
openssl genrsa -out ca.key 2048
#2. According to the ca.key generate a ca.crt. (-days set the certificate effective time). 
openssl req -x509 -new -nodes -key ca.key -subj "/CN=${MASTER_IP}" -days 10000 -out ca.crt
#3. Generate a server.key with 2048bit 
openssl genrsa -out server.key 2048
#4. According to the server.key generate a server.csr. 
openssl req -new -key server.key -subj "/CN=${MASTER_IP}" -out server.csr
#5. According to the ca.key, ca.crt and server.csr generate the server.crt.
openssl x509 -req -days 1000 -in server.csr -signkey server.key -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -extensions v3_req -extensions v3_ca -extfile /etc/ssl/openssl.cnf
#6. View the certificate. 
openssl x509 -noout -text -in ./server.crt

次にetcd、以下のコマンドで実行します。

etcd -name infra0 -initial-advertise-peer-urls http://192.168.99.240:2380 -listen-peer-urls http://192.168.99.240:2380 -listen-client-urls https://192.168.99.240:2379,https://127.0.0.1:2379 -advertise-client-urls https://192.168.99.240:2379 -initial-cluster-token etcd-cluster-1 -initial-cluster infra0=http://192.168.99.240:2380 -initial-cluster-state new -client-cert-auth -trusted-ca-file=ca.crt -cert-file=server.crt -key-file=server.key

etcdこれで、以下のコマンドでアクセスできます。

etcdctl --peers=https://192.168.99.240:2379 --ca-file=ca.crt --cert-file=ca.crt --key-file=ca.key ls

--ca-fileのフラグが でetcdctlありca.crt、 ではないことに注意してくださいserver.crt。

于 2015-11-25T08:32:59.530 に答える