如何使用商业证书代替 k8s 组件之间通信的 TLS 证书

[borivosky]

大佬们，最近遇到这么个问题。公司的安全部门使用 Nessus Tenable SC 扫描了公司的服务器，扫出来 k8s 的那几台服务器的自签名证书是不安全的，违反了公司的安全策略(自建的 k8s 服务)。目前网上看到的都是官网的那一套 https://kubernetes.io/docs/concepts/cluster-administration/certificates/ 有没有大佬有用商业证书替换自签名证书的经验分享一下？

[no1xsyzy]

@Jirajine 请参考主楼的教程，其实是在搞自建 CA，而不只是搞一个自签名证书…… 我是在吐槽这个
话说集群不用 CA 怎么 “互” 信？ 要配置 n*(n-1) 个证书么？

[tivizi]

我猜让这个扫描工具信任你们所信任的私有 CA 证书就可以，而不是集群换所谓的“商业证书”

[stevefan1999]

https://cert-manager.io/docs/installation/kubernetes/

[stevefan1999]

草是要把 kube-controller 這些用自己的 ca 證書替代嗎
那先看看有沒有足夠的證書而且域名 /ip/SAN 能對應再每一個 node 都這麼一個個把證書手動安裝就可以了