|
| 1 | +--- |
| 2 | +title: Випуск сертифіката для клієнта Kubernetes API за допомогою CertificateSigningRequest |
| 3 | +api_metadata: |
| 4 | +- apiVersion: "certificates.k8s.io/v1" |
| 5 | + kind: "CertificateSigningRequest" |
| 6 | + override_link_text: "CSR v1" |
| 7 | +weight: 80 |
| 8 | + |
| 9 | +# Docs maintenance note |
| 10 | +# |
| 11 | +# If there is a future page /docs/tasks/tls/certificate-issue-client-manually/ then this page |
| 12 | +# should link there, and the new page should link back to this one. |
| 13 | +--- |
| 14 | + |
| 15 | +<!-- overview --> |
| 16 | + |
| 17 | +Kubernetes дозволяє використовувати інфраструктуру відкритих ключів (PKI) для автентифікації у кластері в якості клієнта. |
| 18 | + |
| 19 | +Для того, щоб звичайний користувач міг автентифікуватися і викликати API, потрібно виконати кілька кроків. По-перше, цей користувач повинен мати сертифікат [X.509](https://www.itu.int/rec/T-REC-X.509), виданий органом, якому довіряє ваш кластер Kubernetes. Потім клієнт повинен предʼявити цей сертифікат API Kubernetes. |
| 20 | + |
| 21 | +Ви використовуєте запит [CertificateSigningRequest](/concepts/security/certificate-signing-requests/) як частину цього процесу, і ви або інша довірена особа маєте схвалити запит. |
| 22 | + |
| 23 | +Ви створите приватний ключ, а потім отримаєте виданий сертифікат і, нарешті, налаштуєте цей приватний ключ для клієнта. |
| 24 | + |
| 25 | +## {{% heading "prerequisites" %}} |
| 26 | + |
| 27 | +* {{< include "task-tutorial-prereqs.md" >}} |
| 28 | + |
| 29 | +* Вам знадобляться утиліти `kubectl`, `openssl` та `base64`. |
| 30 | + |
| 31 | +Ця сторінка передбачає, що ви використовуєте Kubernetes {{< glossary_tooltip term_id="rbac" text="контроль доступу на основі ролей" >}} (RBAC). Якщо ви використовуєте альтернативні або додаткові механізми безпеки для авторизації, вам також потрібно врахувати їх. |
| 32 | + |
| 33 | +<!-- steps --> |
| 34 | + |
| 35 | +## Створення приватного ключа {#create-private-key} |
| 36 | + |
| 37 | +На цьому кроці ви створюєте приватний ключ. Ви повинні тримати його в таємниці; будь-хто, хто його має, може видавати себе за користувача. |
| 38 | + |
| 39 | +```shell |
| 40 | +# Створіть приватний ключ |
| 41 | +openssl genrsa -out myuser.key 3072 |
| 42 | +``` |
| 43 | + |
| 44 | +## Створіть запит на підписання сертифіката X.509 {#create-x.509-certificatessigningrequest} |
| 45 | + |
| 46 | +{{< note >}} |
| 47 | +Це не те саме, що API CertificateSigningRequest з подібною назвою; файл, який ви генеруєте тут, входить до CertificateSigningRequest. |
| 48 | +{{< /note >}} |
| 49 | + |
| 50 | +Важливо встановити атрибути CN та O для CSR. CN — це імʼя користувача, а O — група, до якої цей користувач буде належати. Ви можете ознайомитися з [RBAC](/docs/reference/access-authn-authz/rbac/) для отримання інформації про стандартні групи. |
| 51 | + |
| 52 | +```shell |
| 53 | +# Змініть загальне ім’я "myuser" на фактичне ім’я користувача, яке ви хочете використовувати |
| 54 | +openssl req -new -key myuser.key -out myuser.csr -subj "/CN=myuser" |
| 55 | +``` |
| 56 | + |
| 57 | +## Створіть CertificateSigningRequest Kubernetes {#create-k8s-certificatessigningrequest} |
| 58 | + |
| 59 | +Закодуйте документ CSR, використовуючи цю команду: |
| 60 | + |
| 61 | +```shell |
| 62 | +cat myuser.csr | base64 | tr -d "\n" |
| 63 | +``` |
| 64 | + |
| 65 | +Створіть [CertificateSigningRequest](/docs/reference/kubernetes-api/authentication-resources/certificate-signing-request-v1/) та надішліть його до кластера Kubernetes через kubectl. Нижче наведено уривок коду оболонки, який ви можете використати для генерації CertificateSigningRequest. |
| 66 | + |
| 67 | +```shell |
| 68 | +cat <<EOF | kubectl apply -f - |
| 69 | +apiVersion: certificates.k8s.io/v1 |
| 70 | +kind: CertificateSigningRequest |
| 71 | +metadata: |
| 72 | + name: myuser # example |
| 73 | +spec: |
| 74 | + # Це закодований CSR. Змініть його на вміст myuser.csr у кодуванні base64 |
| 75 | + request: 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 |
| 76 | + signerName: kubernetes.io/kube-apiserver-client |
| 77 | + expirationSeconds: 86400 # one day |
| 78 | + usages: |
| 79 | + - client auth |
| 80 | +EOF |
| 81 | +``` |
| 82 | + |
| 83 | +Деякі моменти, на які слід звернути увагу: |
| 84 | + |
| 85 | +* `usages` має бути `client auth` (від імені клієнта) |
| 86 | +* `expirationSeconds` можна зробити довшим (наприклад, `864000` для десяти днів) або коротшим (наприклад, `3600` для однієї години). Ви не можете подати запит тривалістю менше ніж 10 хвилин. |
| 87 | +* `request` — це закодоване в base64 значення вмісту файлу CSR. |
| 88 | + |
| 89 | +## Схваліть CertificateSigningRequest {#approve-certificate-signing-request} |
| 90 | + |
| 91 | +Використовуйте kubectl, щоб знайти CSR, який ви створили, і вручну схвалити його. |
| 92 | + |
| 93 | +Отримайте список CSR: |
| 94 | + |
| 95 | +```shell |
| 96 | +kubectl get csr |
| 97 | +``` |
| 98 | + |
| 99 | +Схваліть CSR: |
| 100 | + |
| 101 | +```shell |
| 102 | +kubectl certificate approve myuser |
| 103 | +``` |
| 104 | + |
| 105 | +## Отримайте сертифікат {#get-the-certificate} |
| 106 | + |
| 107 | +Отримайте сертифікат із CSR, щоб перевірити, чи виглядає він правильно. |
| 108 | + |
| 109 | +```shell |
| 110 | +kubectl get csr/myuser -o yaml |
| 111 | +``` |
| 112 | + |
| 113 | +Значення сертифікату знаходиться в Base64-кодованому форматі в розділі `.status.certificate`. |
| 114 | + |
| 115 | +Експортуйте виданий сертифікат з CertificateSigningRequest. |
| 116 | + |
| 117 | +```shell |
| 118 | +kubectl get csr myuser -o jsonpath='{.status.certificate}'| base64 -d > myuser.crt |
| 119 | +``` |
| 120 | + |
| 121 | +## Налаштуйте сертифікат у kubeconfig {#configure-the-certificate-into-kubeconfig} |
| 122 | + |
| 123 | +Наступним кроком буде додавання цього користувача до файлу kubeconfig. |
| 124 | + |
| 125 | +Спочатку потрібно додати нові облікові дані: |
| 126 | + |
| 127 | +```shell |
| 128 | +kubectl config set-credentials myuser --client-key=myuser.key --client-certificate=myuser.crt --embed-certs=true |
| 129 | + |
| 130 | +``` |
| 131 | + |
| 132 | +Потім потрібно додати контекст: |
| 133 | + |
| 134 | +```shell |
| 135 | +kubectl config set-context myuser --cluster=kubernetes --user=myuser |
| 136 | +``` |
| 137 | + |
| 138 | +Перевірте: |
| 139 | + |
| 140 | +```shell |
| 141 | +kubectl --context myuser auth whoami |
| 142 | +``` |
| 143 | + |
| 144 | +Ви повинні побачити вивід, який підтверджує, що ви є «myuser». |
| 145 | + |
| 146 | +## Створіть Role та RoleBinding {#create-role-and-rolebinding} |
| 147 | + |
| 148 | +{{< note >}} |
| 149 | +Якщо ви не використовуєте Kubernetes RBAC, пропустіть цей крок і внесіть відповідні зміни до механізму авторизації який використовується у вашому кластері. |
| 150 | +{{< /note >}} |
| 151 | + |
| 152 | +Після створення сертифіката настав час визначити Role і RoleBinding для цього користувача для доступу до ресурсів кластера Kubernetes. |
| 153 | + |
| 154 | +Це приклад команди для створення Role для цього нового користувача: |
| 155 | + |
| 156 | +```shell |
| 157 | +kubectl create role developer --verb=create --verb=get --verb=list --verb=update --verb=delete --resource=pods |
| 158 | +``` |
| 159 | + |
| 160 | +Це приклад команди для створення RoleBinding для цього нового користувача: |
| 161 | + |
| 162 | +```shell |
| 163 | +kubectl create rolebinding developer-binding-myuser --role=developer --user=myuser |
| 164 | +``` |
| 165 | + |
| 166 | +## {{% heading "whatsnext" %}} |
| 167 | + |
| 168 | +* Прочитайте [Керування сертифікатами TLS у кластері](/docs/tasks/tls/managing-tls-in-a-cluster/) |
| 169 | +* Для отримання детальної інформації про сам X.509 зверніться до [RFC 5280](https://tools.ietf.org/html/rfc5280#section-3.1), розділ 3.1 |
| 170 | +* Інформацію про синтаксис запитів на підписання сертифікатів PKCS#10 наведено в [RFC 2986](https://tools.ietf.org/html/rfc2986) |
| 171 | +* Прочитайте про [ClusterTrustBundles](/docs/reference/access-authn-authz/certificate-signing-requests/#cluster-trust-bundles) |
0 commit comments