kubelet-csr-approver

kubelet-csr-approver 是一个 Kubernetes 控制器，其核心功能是自动批准 kubelet-serving 证书签名请求（CSR），前提是这些 CSR 符合一系列可配置的、提供商特定的检查/验证规则。该控制器受现有项目（如 kubelet-rubber-stamp）启发，增加了额外的验证机制，以防止攻击者伪造证书。

核心功能与特性

• 自动批准符合验证规则的 kubelet-serving CSR
• 支持通过环境变量配置主机名验证策略，精确控制可批准的节点主机名
• 验证节点 DNS 名称的可解析性，确保请求来源合法性
• 提供灵活的部署参数，适配不同集群环境的节点命名规范

使用场景与适用范围

适用于需要自动管理 Kubernetes 集群中 kubelet 服务证书的场景，尤其适合节点具有统一命名规范（如 node-xxx.int.company.com）、需严格控制证书请求来源的企业级集群，可提升证书轮换效率并增强证书安全性。

使用方法与配置说明

快速部署与使用步骤

1. 使用 deploy/k8s 目录中的清单文件在 Kubernetes 集群部署 kubelet-csr-approver。

2. 修改所有节点的 /var/lib/kubelet/config.yaml 文件，添加以下配置字段，然后重启 kubelet 服务：

   serverTLSBootstrap: true
   

3. 完成上述配置后，集群中将生成 CSR 请求，kubelet-csr-approver 会根据部署参数自动批准或拒绝这些请求。

关键配置参数说明

环境变量 PROVIDER_REGEX

该变量用于定义可批准的节点主机名正则表达式，是最重要的配置参数。例如：

• 若节点命名规范为 node-randomstr1234.int.company.ch，正则表达式可设置为 ^node-\w*\.int\.company\.ch$，仅批准符合该模式的主机名。

注意事项

• 节点 DNS 名称必须可解析，否则 kubelet-csr-approver 无法正常完成验证。若存在解析问题，可提交 issue 以推动添加禁用此验证的标志。