GKE ca.certに、APIサーバへの接続中にSSLエラーが発生するIPがありません。

Question

コンテナにデプロイされるサービスアカウントのca.crtファイルを調べました。マスターノードのDNS名。これにより、SSLエラーが発生します。https://0.0.0.0:10250/metrics：x509：IP SANが含まれていないため、0.0.0.0の証明書を検証できません。

誰かがこの問題に遭遇しましたか？あなたはどうやってそれを解決し、安全でないSSLを許しましたか？

Answer 1

サービスアカウント（/run/secrets/kubernetes.io/serviceaccount/ca.crt）によって提供されるca証明書は、（GKEのマスタがサービスする）apiserverと通信するためのものです。

# curl --cacert /run/secrets/kubernetes.io/serviceaccount/ca.crt https://kubernetes -H "Authorization: Bearer $(cat /run/secrets/kubernetes.io/serviceaccount/token)" 
{ 
    "paths": [ 
    "/api", 
    ... 
    ] 

kubelet API（ポート10250）と対話しているようです。 kubelet APIは自己署名証明書を提供するので、安全性が唯一の方法です。