Kubelet Serving Cert Approver安装与配置指南

2025-04-18 09:36:58作者：贡沫苏Truman

1. 项目基础介绍

Kubelet Serving Cert Approver 是一个用于自动批准 Kubernetes 中 kubelet 使用的 TLS 证书签名请求的开源项目。通过这个项目，可以确保集群中的 kubelet 能够安全地使用由可信证书颁发机构（CA）签发的证书，从而不需要在安装 metrics-server 等组件时使用不安全的 --kubelet-insecure-tls 标志。

该项目主要使用 Go 语言编写。

2. 项目使用的关键技术和框架

Kubernetes API: 项目与 Kubernetes API 交互，自动处理证书签名请求。
Go 语言: 项目主要使用 Go 语言进行开发，利用其高效的并发处理和网络库。
Prometheus: 用于监控和收集指标数据。

3. 项目安装和配置的准备工作与详细步骤

准备工作

在开始安装之前，请确保您的 Kubernetes 集群满足以下条件：

集群已启用 TLS Bootstrapping。
kubelet 参数中包含 rotate-server-certificates: true。

安装步骤

克隆项目仓库

从命令行执行以下命令，将项目仓库克隆到本地：

git clone https://github.com/alex1989hu/kubelet-serving-cert-approver.git
cd kubelet-serving-cert-approver

构建项目

使用以下命令构建项目：
```
make build
```
这将编译项目并生成可执行文件。
部署到 Kubernetes 集群

进入 deploy 目录，并应用 Kubernetes 配置文件：
```
cd deploy
kubectl apply -f .
```
这将创建必要的 Kubernetes 对象，包括部署、服务和必要的 RBAC 配置。
验证安装

检查 Kubelet Serving Cert Approver 的 Pod 是否正在运行：
```
kubectl get pods -n kube-system | grep kubelet-serving-cert-approver
```
如果看到 Pod 在运行，那么安装成功。
监控和指标

Kubelet Serving Cert Approver 提供了 Prometheus 指标，可以通过 /metrics 端点访问。您可以使用以下命令获取指标：
```
kubectl port-forward <kubelet-serving-cert-approver-pod> 9090:9090 &
curl http://localhost:9090/metrics
```
请将 <kubelet-serving-cert-approver-pod> 替换为实际的 Pod 名称。