khs1994/k8s-cfssl

Kubernetes证书生成工具镜像

镜像概述

本Docker镜像专为生成Kubernetes集群部署所需的证书文件和配置文件而设计，严格遵循Kubernetes官方证书最佳实践（参考Kubernetes证书文档）。通过容器化方式简化证书生成流程，确保证书格式、有效期及权限符合生产环境要求。

核心功能与特性

• 全面的证书生成：支持生成Kubernetes集群所需各类证书，包括CA根证书、API Server证书、etcd证书、kubelet证书、kube-proxy证书等
• 配置文件自动生成：可生成配套的kubeconfig配置文件，包含集群、用户及上下文信息
• 遵循最佳实践：严格按照Kubernetes官方安全标准生成证书，确保密钥长度、签名算法、有效期等参数合规
• 参数可定制：支持自定义证书有效期、密钥长度、集群名称、API Server地址（IP/域名）等核心参数
• 隔离性强：容器化运行环境避免与主机系统依赖冲突，证书生成过程独立可控

使用场景与适用范围

典型使用场景

• 自建Kubernetes集群（非托管服务）部署前的证书准备阶段
• 现有Kubernetes集群证书过期后的轮换更新
• 多环境集群（开发/测试/生产）的证书批量生成
• 离线环境下的Kubernetes证书制备

适用范围

• 适用于所有基于Kubernetes官方架构的集群（包括单节点、多节点、高可用集群）
• 支持IPv4/IPv6双栈集群的证书生成
• 兼容Kubernetes v1.19+版本集群

使用方法与配置说明

基本使用方式（docker run）

通过挂载本地目录接收生成的证书文件，基本命令格式如下：

bash
docker run -v /本地证书输出目录:/output \
  -e CLUSTER_NAME=my-k8s-cluster \
  -e API_SERVER_IPS=192.168.1.100,127.0.0.1 \
  -e API_SERVER_DNSNAMES=kubernetes,kubernetes.default,kubernetes.default.svc \
  -e CERT_EXPIRY=87600h \
  your-image-name:latest

核心环境变量配置

输出文件说明

证书生成完成后，将在挂载的/output目录下生成以下文件结构：

/output/
├── ca/                  # CA根证书目录
│   ├── ca.crt           # CA公钥证书
│   └── ca.key           # CA私钥（敏感文件）
├── apiserver/           # API Server证书目录
│   ├── apiserver.crt
│   └── apiserver.key
├── kubelet/             # kubelet证书目录
│   ├── kubelet.crt
│   └── kubelet.key
├── kube-proxy/          # kube-proxy证书目录
│   ├── kube-proxy.crt
│   └── kube-proxy.key
└── kubeconfig/          # kubeconfig配置文件目录
    └── admin.kubeconfig # 管理员kubeconfig文件

高级配置：自定义证书扩展信息

如需添加自定义X.509证书扩展字段（如SAN扩展），可通过挂载配置文件实现：

1. 创建自定义配置文件cert-config.yaml：

yaml
certificates:
  api-server:
    subject:
      organization: "MyOrg"
      organizationalUnit: "Kubernetes"
    altNames:
      ips: ["10.96.0.1"]
      dns: ["api.k8s.example.com"]

2. 运行容器时挂载配置文件：

bash
docker run -v /本地证书输出目录:/output \
  -v /本地配置文件路径/cert-config.yaml:/config/cert-config.yaml \
  your-image-name:latest --config /config/cert-config.yaml

注意事项

• 证书私钥文件（.key）属于敏感信息，生成后需立即设置文件权限（建议0600）并妥善保管
• 生产环境建议使用4096位密钥长度（通过KEY_SIZE=4096设置）
• 证书生成后需通过openssl x509 -in 证书文件 -noout -text命令验证证书内容正确性
• 高可用集群需在API_SERVER_IPS和API_SERVER_DNSNAMES中包含所有控制平面节点的IP和域名