3.2.3 - クライアントCAファイルが構成されていることを確認する (自動化)

影響

監査

1. 各ノードにSSHで接続し、次のコマンドを実行してKubeletプロセスを見つけてください。

   ps -ef | grep kubelet

   上記のコマンドの出力は、アクティブなKubeletプロセスの詳細を提供します。これにより、プロセスに提供されたCommand Line引数を確認できます。また、--config引数で指定された設定ファイルの場所にも注意してください。これは設定を確認するために必要です。
2. ファイルはmoreやlessのようなコマンドで表示できます。

   sudo less /path/to/kubelet-config.json

3. クライアント認証局ファイルが設定されていることを確認してください。これは--client-ca-fileのCommand Line引数を使用するか、kubelet設定ファイルで"authentication": { "x509": {"clientCAFile": <path/to/client-ca-file> } }を通じて設定できます。

1. クラスター内のすべてのノードを検出する:

   kubectl get nodes

2. お好みのローカルポートでkubectlを使用してプロキシを開始します。この例では8080を使用します。

   kubectl proxy --port=8080

3. 別のターミナルで各ノードに対して次のコマンドを実行してください。

   export NODE_NAME=my-node-name
   curl http://localhost:8080/api/v1/nodes/${NODE_NAME}/proxy/configz

   curlコマンドは、Kubelet構成を表すJSON形式の文字列であるAPI対応を返します。
4. API対応で"authentication": { "x509": {"clientCAFile": <path/to/client-ca-file> } }としてクライアント認証局ファイルが設定されていることを確認してください。

修復

1. Kubelet設定ファイルを介して設定する場合は、各ノードにSSHで接続し、kubeletプロセスを見つけてください。

   ps -ef | grep kubelet

   上記のコマンドの出力は、アクティブなkubeletプロセスの詳細を提供し、--config引数でkubeletサービスに提供された設定ファイルの場所を確認できます。
2. ファイルはmoreやlessのようなコマンドで表示できます。

   sudo less /path/to/kubelet-config.json

3. 次のパラメータを適切に設定して、クライアント認証局ファイルを構成してください。

   "authentication": { "x509": {"clientCAFile": <path/to/client-ca-file> } }

--client-ca-file=<path/to/client-ca-file>

systemctl daemon-reload
systemctl restart kubelet.service
systemctl status kubelet -l