如何撤销Kubernetes集群中的签名证书？

Question

kube-apiserver似乎没有提供使用证书撤销列表（CRL）的选项。

如果客户端证书丢失或不再使用，是否有办法撤销客户端证书？

Answer 1

据我所知，没有办法通过CRL直接吊销证书。但是，什么工作，以及我们目前使用的是ABAC policies以识别用户（通过证书的公用名设置）以及他们是否有权访问Kubernetes上的给定资源。

举个例子，假设你有一个叫做“random”的用户。您将从您指定的证书颁发机构为其生成一份客户证书，并使用通用名称“随机”。

从那里，你可以有一个ABAC策略文件（一个csv文件，每一行都是JSON位），为用户设置“随机”权限，为用户提供对Kubernetes API的特定级别访问。您可以让他们有权访问所有内容或某些名称空间或其他API参数。如果您需要撤消权限，则只需从ABAC策略文件中删除该用户即可。我们已经测试过了，它运行良好。不幸的是，我会说，你必须重新启动 Kubernetes API服务才能使这些更改生效，因此可能会发生几秒钟的停机时间。很显然，在开发环境中这不是什么大问题，但是在生产中，您可能需要为用户添加时间。

希望未来一个简单的“kube-apiserver重新加载”将允许重新读取该ABAC策略文件。

最后要注意的一点是：当使用客户端证书进行ABAC认证时，您需要为用户INDIVIDUALLY设置权限。与使用ABAC的授权令牌不同，您不能在“组”中设置客户端证书用户。一些令我们头痛的事情，所以认为值得传递。 :)

希望这有助于！