如何撤銷Kubernetes集羣中的簽名證書？

Question

kube-apiserver似乎沒有提供使用證書撤銷列表（CRL）的選項。

如果客戶端證書丟失或不再使用，是否有辦法撤銷客戶端證書？

Answer 1

據我所知，沒有辦法通過CRL直接吊銷證書。但是，什麼工作，以及我們目前使用的是ABAC policies以識別用戶（通過證書的公用名設置）以及他們是否有權訪問Kubernetes上的給定資源。

舉個例子，假設你有一個叫做「random」的用戶。您將從您指定的證書頒發機構爲其生成一份客戶證書，並使用通用名稱「隨機」。

從那裏，你可以有一個ABAC策略文件（一個csv文件，每一行都是JSON位），爲用戶設置「隨機」權限，爲用戶提供對Kubernetes API的特定級別訪問。您可以讓他們有權訪問所有內容或某些名稱空間或其他API參數。如果您需要撤消權限，則只需從ABAC策略文件中刪除該用戶即可。我們已經測試過了，它運行良好。不幸的是，我會說，你必須重新啓動 Kubernetes API服務才能使這些更改生效，因此可能會發生幾秒鐘的停機時間。很顯然，在開發環境中這不是什麼大問題，但是在生產中，您可能需要爲用戶添加時間。

希望未來一個簡單的「kube-apiserver重新加載」將允許重新讀取該ABAC策略文件。

最後要注意的一點是：當使用客戶端證書進行ABAC認證時，您需要爲用戶INDIVIDUALLY設置權限。與使用ABAC的授權令牌不同，您不能在「組」中設置客戶端證書用戶。一些令我們頭痛的事情，所以認爲值得傳遞。 :)

希望這有助於！