Ошибка аутентификации Kubernetes в Vault

Добрый вечер! Надеюсь, у вас все хорошо. Я пытаюсь настроить интеграцию K8s с Vault и застрял с этим сообщением об ошибке: x509: сертификат, подписанный неизвестным органом

Kubernetes работает на AWS EKS, а Vault - это HA-конфигурация с классическим балансировщиком нагрузки и входом Route 53.

Я перехожу по этой ссылке: https://learn.hashicorp.com/vault/identity-access-management/vault-agent-k8s Вместо Minikube я указываю свой кластер Kubernetes, я пробовал все возможные способы, которые я мог думать, но каждый раз одна и та же ошибка.

https: //: 8443 / apis / authentication.k8s.io / v1 / tokenreviews: x509: сертификат, подписанный неизвестным органом

хранилище-конфигурация:

{
"listener": [{
"tcp": {
"address" : "0.0.0.0:8200",
"tls_disable" : 1 (Am doing SSL termination at LoadBalacer level)
}
}],
"api_addr": "http://<Instance_IP>:8200",
"storage": {
"dynamodb": {
"ha_enabled" : "true",
"region" : "<region_name>",
"table" :  "<table_name>"
}
},
"max_lease_ttl": "10h",
"default_lease_ttl": "10h",
"ui":true
}

Пытался включить аутентификацию с помощью: «vault auth enable -tls-skip-verify kubernetes» и «vault auth enable kubernetes», но безуспешно.

Пожалуйста помоги. Сообщите мне, если вам понадобится от меня какая-либо информация.


hashicorp-vault
person AshitAcharya    schedule 11.06.2019    source источник
comment
Какая у вас операционная система? Эта ошибка обычно возникает, если вы добавляете сертификат в список доверенных. например В моем случае у меня была ubuntu, и я скопировал сертификат в / etc / ssl / certs. И я избавился от проблемы   -  person Raman Sharma    schedule 26.08.2019

Ответы (1)


arrow_upward
4
arrow_downward

Вы не можете отключить проверку CA с помощью метода аутентификации kubernetes. Когда вы включаете метод аутентификации, вам необходимо указать kuberetes_host и kubernetes_ca_cert. Хост - это полное доменное имя вашего хоста Kubernetes (сервера API). Ca_cert - это общедоступный центр сертификации для проверки запроса к серверу API.

У каждого облачного провайдера есть свой способ доступа к ЦС, поскольку он может принадлежать подсистеме балансировки нагрузки, а не непосредственно в кластере. Похоже, вы используете AWS, поэтому вот эти документы < / а>. Вам нужно вытащить поле certificate-authority-data, так как это CA, и передать его Vault.

person sethvargo    schedule 12.06.2019