Kubebuilder项目中HTTPS指标端点证书配置问题的分析与解决

在Kubernetes Operator开发过程中，Kubebuilder作为流行的脚手架工具，其生成的Prometheus监控配置存在一个关键问题：当使用HTTPS协议暴露指标端点并配合cert-manager管理证书时，默认配置会导致监控系统无法正常工作。本文将深入分析问题成因并提供完整的解决方案。

问题现象

开发者在Kubebuilder 4.4.0版本生成的Operator项目中，配置HTTPS指标端点时遇到两个典型问题：

1. ServiceMonitor配置覆盖：自动生成的monitor_tls_patch.yaml文件会完全覆盖原有的endpoints字段，导致关键的监控路径(path)、协议方案(scheme)等配置丢失。

2. 证书验证失败：Prometheus服务在抓取指标时无法验证服务端证书，出现x509: cannot validate certificate for [IP] because it doesn't contain any IP SANs错误。这是因为证书中只包含服务名称的SAN(Subject Alternative Name)，而Prometheus直接通过Pod IP进行连接。

根本原因分析

配置覆盖问题

Kubebuilder的模板引擎生成的ServiceMonitor补丁文件采用了全量替换策略，而非增量更新。这种设计会导致Kustomize应用补丁时，原有endpoints配置被完全替换，仅保留TLS相关配置。

证书验证问题

证书验证失败涉及Kubernetes服务发现的深层机制：

• 证书通常配置服务DNS名称（如service.namespace.svc）
• Prometheus默认通过Endpoint API直接获取Pod IP进行抓取
• 当客户端(Prometheus)通过IP地址访问时，Go的TLS栈会严格检查证书中的IP SANs字段
• 由于服务证书通常只包含DNS SANs，不包含Pod IP，导致验证失败

完整解决方案

临时解决方案

在Kubebuilder修复前，可以手动修改ServiceMonitor配置：

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: controller-manager-metrics-monitor
spec:
  endpoints:
    - path: /metrics
      interval: 15s
      port: https
      scheme: https
      bearerTokenFile: /var/run/secrets/kubernetes.io/serviceaccount/token
      tlsConfig:
        serverName: operator-controller-manager-metrics-service.default.svc
        ca:
          secret:
            key: ca.crt
            name: metrics-server-cert
        cert:
          secret:
            key: tls.crt
            name: metrics-server-cert
        keySecret:
          key: tls.key
          name: metrics-server-cert

关键修改点：

1. 保留原始监控路径和协议配置
2. 添加serverName指定证书验证时使用的主机名
3. 确保TLS配置与证书Secret匹配

永久修复方案

Kubebuilder项目已通过以下方式修复该问题：

1. 修改模板引擎，确保补丁文件只更新TLS配置部分
2. 自动添加serverName配置指向服务的全限定域名
3. 同时支持Go和Helm两种项目类型的修复

最佳实践建议

1. 证书配置：确保生成的证书包含：

   • 服务DNS名称（<service>.<namespace>.svc）
   • 考虑添加ClusterIP作为IP SANs（可选）

2. 监控配置：

   • 使用serverName显式指定验证主机名
   • 保持insecureSkipVerify: false确保安全性
   • 定期检查Prometheus的Target状态

3. 升级策略：

   • 新项目建议使用Kubebuilder 4.4.1+版本
   • 已有项目可手动应用上述配置修改

总结

Kubebuilder的HTTPS指标端点配置问题展示了Kubernetes监控体系中证书验证的复杂性。通过理解ServiceMonitor的工作原理和TLS验证机制，开发者可以更好地配置安全的监控通道。随着Kubebuilder的持续改进，这类常见问题的默认配置将更加完善，但掌握其背后的原理仍对处理边缘情况至关重要。