允许 kubernetes storageclass 使用自签名证书重新 URL HTTPS

Question

我目前正在尝试为 Kubernetes 集群设置 GlusterFS 集成。卷配置是使用 Heketi 完成的。

GlusterFS-cluster 有一个包含 3 个虚拟机的池 第一个节点配置了 Heketi 服务器和客户端。 Heketi API 使用自签名证书 OpenSSL 保护并且可以访问。

例如卷曲https://heketinodeip:8080/hello -k 返回预期的响应。

StorageClass 定义将“resturl”设置为 Heketi API https://heketinodeip:8080

当 storageclass 创建成功，我尝试创建 PVC 时，失败：

"x509: 未知权威签署的证书"

这是意料之中的，因为通常必须允许这种不安全的 HTTPS 连接或显式导入颁发者 CA（例如，仅包含 pem 字符串的文件）

但是：Kubernetes 是如何做到的？如何允许从 Kubernetes 到 Heketi 的这种不安全连接，允许不安全的自签名证书 HTTPS 或在哪里/如何导入 CA？

这不是 DNS/IP 问题，已通过正确的 subjectAltName 设置解决。

（似乎每个人都在使用 Heketi，它似乎仍然是 GlusterFS 集成的标准用例，但如果连接到 Kubernetes，则始终没有 SSL）

谢谢！

Answer 1

To skip verification of server cert, caller just need specify InsecureSkipVerify: true. 请参阅此 github 问题以获取更多信息 (https://github.com/heketi/heketi/issues/1467)

在此页面中，他们指定了一种使用自签名证书的方法。没有彻底解释，但仍然有用（https://github.com/gluster/gluster-kubernetes/blob/master/docs/design/tls-security.md#self-signed-keys）。