Kubernetes 証明書でワークロードを保護する

openssl genrsa -out myserver.key 2048 コマンドを実行して、RSA プライベートキーを生成します。

openssl genrsa -out myserver.key 2048

次のコマンドを実行して、証明書リクエストを生成します。

openssl req -new -key myserver.key -out myserver.csr -subj "/CN=myserver.default.svc"

CSR リクエストの base64 値を生成し、後の手順で使用するために変数に格納します。

base_64=$(cat myserver.csr | base64 -w 0 | tr -d "
")

次のコマンドを実行して、mycsr.yaml という名前のファイルを作成します。次の例では、beta.eks.amazonaws.com/app-serving が signerName に使用されています。

cat >mycsr.yaml <<EOF
apiVersion: certificates.k8s.io/v1
kind: CertificateSigningRequest
metadata:
  name: myserver
spec:
  request: $base_64
  signerName: beta.eks.amazonaws.com/app-serving
  usages:
    - digital signature
    - key encipherment
    - server auth
EOF

CSR を送信します。

kubectl apply -f mycsr.yaml

配信用証明書を承認します。

kubectl certificate approve myserver

証明書が発行されたことを確認します。

kubectl get csr myserver

出力例は次のとおりです。

NAME       AGE     SIGNERNAME                           REQUESTOR          CONDITION
myserver   3m20s   beta.eks.amazonaws.com/app-serving   kubernetes-admin   Approved,Issued

発行された証明書をエクスポートします。

kubectl get csr myserver -o jsonpath='{.status.certificate}'| base64 -d > myserver.crt

以下のコマンドを実行してください。

kubectl get csr -A

出力例は次のとおりです。

NAME        AGE   SIGNERNAME                      REQUESTOR                                                  REQUESTEDDURATION   CONDITION
csr-7znmf   90m   kubernetes.io/kubelet-serving   system:node:ip-192-168-42-149.region.compute.internal      <none>              Approved
csr-9xx5q   90m   kubernetes.io/kubelet-serving   system:node:ip-192-168-65-38.region.compute.internal      <none>              Approved, Issued

返された出力に、ノードに対して Approved ではあるが Issued ではない kubernetes.io/kubelet-serving 署名者付きの CSR が表示されている場合は、要求を承認する必要があります。

CSR を手動で承認します。csr-7znmf を独自の値に置き換えます。

kubectl certificate approve csr-7znmf