加载

PostgresSQL无法信任kubernetes api证书

PostgreSQL 雷竞技下载官网为PostgreSQL Percona运营商

Clay_Risser 2022年7月6日,9:02pm 1

当我散步流言集群部署postgres, kubernetes api的api调用失败,因为它并不信任kubernetes api证书。我怎么能让percona po雷竞技下载官网stgres相信我的kuberntes api证书吗?

这是我的错误。

2022-07-06 20:31:11,485警告:重试(重试(总= 0,连接= None,阅读=没有重定向= 0,状态= None))连接破碎后的SSLError (SSLError (1’(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 897)”),)”: / api / v1 /命名空间/ pg3 /舱吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dpostgres 2022-07-06 20:31:11,487警告:重试(重试(总= 0,连接=没有阅读=没有重定向= 0,状态= None))连接破碎后的SSLError (SSLError (1’(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 897)”),)”: / api / v1 /命名空间/ pg3 / configmaps吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dpostgres 2022-07-06 20:31:11,494错误:https://100.64.0.1:443请求到服务器失败:MaxRetryError (“HTTPSConnectionPool(主机= 100.64.0.1,端口= 443):马克斯重试超过url: / api / v1 /命名空间/ pg3 /舱吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dpostgres (SSLError所致(SSLError (1’(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 897)”),))”), 2022-07-06 20:31:11,495错误:https://100.64.0.1:443请求到服务器失败:MaxRetryError (“HTTPSConnectionPool(主机= 100.64.0.1,端口= 443):马克斯重试超过url: / api / v1 /命名空间/ pg3 / configmaps吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dpostgres (SSLError所致(SSLError (1’(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 897)”),))”), 2022-07-06 20:31:11,804错误:get_cluster回溯(最近的电话最后):文件“/ usr / lib / python3.6 /网站/ patroni / dcs / kubernetes。py”, 704行,在_load_cluster self._wait_caches (stop_time)文件“/ usr / lib / python3.6 /网站/ patroni / dcs / kubernetes。py”, 696行,_wait_caches提高RetryFailedError patroni.utils(“超过重试期限”)。RetryFailedError:“超过重试期限”2022-07-06 20:31:11,804警告:得不到集群从dcs 2022-07-06 20:31:12,495错误:ObjectCache.run TypeError(“不支持的操作数类型(s) -:“NoneType”和“浮动”,)2022-07-06 20:31:12,496错误:ObjectCache.run TypeError(“不支持的操作数类型(s) -:“NoneType”和“浮动”,)2022-07-06 20:31:12,502警告:重试(重试(总= 0,连接=没有阅读=没有重定向= 0,状态= None))连接破碎后的SSLError (SSLError (1”(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 897)”),)”: / api / v1 /命名空间/ pg3 /豆荚? labelSelector =供应商% 3 dcrunchydata dpostgres % 2 ccrunchy-pgha-scope % 3

3喜欢

Clay_Risser 2022年7月9日,12:58pm 2

我认为这个问题是由于以下不受信任的证书颁发机构。为什么perc雷竞技下载官网ona kubernetes证书颁发机构不信任?对我来说似乎是一个基本要求。下面的证书应该是可信的。

/var/run/secrets/kubernetes.io / serviceaccount / ca.crt

作为一个基本的例子,如果我叫kubernetes api与旋度,它将失败与证书错误,预计因为kubernetes默认证书颁发机构不受信任的豆荚。

curl https://kubernetes.default

旋度(60):SSL证书的问题:自签署证书证书链中更多的细节:https://curl.haxx.se/docs/sslcerts。html旋度未能验证服务器的合法性,因此无法建立一个安全连接。为了了解更多关于这种情况以及如何修复它,请访问网页上面提到的。

为了调用kubernetes api的我需要明显地信任kubernetes证书颁发机构。我能做这与旋度以下的例子。

curl https://kubernetes.default——cacert /var/run/secrets/kubernetes.io / serviceaccount / ca.crt

这一事实percona调用k雷竞技下载官网ubernetes api并不信任/var/run/secrets/kubernetes.io / serviceaccount / ca.crt证书是为特定的集群设置创建大问题,特别是在我的例子中散步流言集群。

需要采取哪些步骤来确保percona api调用kubernets信任此证书雷竞技下载官网权威吗?

1像

Clay_Risser 2022年7月13日,以 3

因为我不能复制证书readOnlyRootFilesystem启用。某人percona团队能解决这个问题。雷竞技下载官网这是一个至关重要的拦截器好几人。

1像

Ege_Gunes 2022年7月15日,9:02am 4

嗨@Clay_Risser,

我花了一些时间来理解你描述的问题,但仍然很难。通常的工具与Kubernetes API服务器添加此服务帐户CA证书信任池。例如:

client-go:

func InClusterConfig()(*配置错误){常量(tokenFile = " / var /运行/机密/ kubernetes。io / serviceaccount /令牌" rootCAFile = " / var /运行/机密/ kubernetes.io / serviceaccount / ca。crt)主机、端口:= os.Getenv (“KUBERNETES_SERVICE_HOST”), os.Getenv (“KUBERNETES_SERVICE_PORT”)如果len(主机)= = 0 | | len(港口)= = 0{返回nil, ErrNotInCluster}牌,犯错:= ioutil.ReadFile (tokenFile)如果犯错! = nil{返回nil,犯错}tlsClientConfig: = tlsClientConfig{}如果_,犯错:= certutil.NewPool (rootCAFile);犯错! = nil {klog。Errorf(“将从% s加载根CA配置,但有犯错:% v”, rootCAFile,犯错)}{tlsClientConfig。CAFile = rootCAFile}返回配置{/ / TODO:切换到使用集群DNS。主持人:“https://”+净。JoinHostPort(主机、端口),TLSClientConfig: TLSClientConfig, BearerToken:字符串(令牌),BearerTokenFile: tokenFile,}, nil}

patroni:

def load_incluster_config(自我、ca_certs = SERVICE_CERT_FILENAME token_refresh_interval = datetime.timedelta(分钟= 1):如果SERVICE_HOST_ENV_NAME不在操作系统。环境或SERVICE_PORT_ENV_NAME不是操作系统。环境:提高自我。ConfigException(“服务主机/端口没有设置”。)如果不是操作系统。环境(SERVICE_HOST_ENV_NAME)操作系统。环境[SERVICE_PORT_ENV_NAME]:提高自我。ConfigException(“服务主机/端口设置但空。)如果不是os.path.isfile (ca_certs):提高自我。ConfigException(“服务证书文件并不存在。”)与开放(ca_certs) f:如果不是f.read():提高自我。ConfigException (Cert文件存在,但空。)自我。pool_config [' ca_certs '] = ca_certs自我。_token_refresh_interval = token_refresh_interval牌= self._read_token_file () self._make_headers(令牌=令牌)的自我。_server = uri (“https”(操作系统。环境(SERVICE_HOST_ENV_NAME) os.environ [SERVICE_PORT_ENV_NAME]))

感觉像是在集群中可能是错的。你能分享更多细节关于你的设置吗?你为什么认为集群安装吗散步流言很容易这样的错误呢?

1像

Clay_Risser 2022年7月16日,8:08pm 5

嗯,我不确定。我将试着挖到更多。如果你有任何建议,请让我知道。我相信我的散步流言集群设置正确,因为下面的命令运行没有错误。

curl https://kubernetes.default——cacert /var/run/secrets/kubernetes.io / serviceaccount / ca.crt

1像

Clay_Risser 2022年7月16日,10:36pm 6

@Ege_Gunes我刚注意到你看错文件了。确保你看Patroni 2.1.1因为这是Patroni版本percona Postgres运营商1.2.0使用。雷竞技下载官网

github.com

zalando patroni /团/ v2.1.1 patroni / dcs / kubernetes.py

进口datetime进口functools导入json导入日志导入操作系统导入随机进口插座进口六导入系统导入时间进口urllib3进口yaml urllib3从urllib3进口超时。从six.moves进口HTTPError异常。http_client从线程进口条件,进口textbox锁,线程。进口AbstractDCS、集群、ClusterConfig故障转移,领导者,成员,SyncState TimelineHistory从. .异常进口DCSError

这个文件已经被截断。显示原始

1像

Clay_Risser 2022年7月16日,10:39pm 7

这正是它是失败的。

github.com

zalando / patroni /团/ v2.1.1 / patroni / dcs / kubernetes.py # L696


           
            def成员(pod):
            = pod.metadata注释。注释或{}
            成员= Member.from_node (pod.metadata.resource_version pod.metadata.name,没有注释。(“地位”,”))
            成员。[' pod_labels '] = pod.metadata.labels数据
            返回成员
            
            def _wait_caches(自我,stop_time):
            而不是(self._pods.is_ready()和self._kinds.is_ready ()):
            超时= stop_time - time.time ()
            如果超时< = 0:
            提高RetryFailedError(“超过重试期限”)
            self._condition.wait(超时)
            
            def _load_cluster(自我):
            stop_time = time.time () + self._retry.deadline
            self._api.refresh_api_servers_cache ()
            试一试:
            self._condition:
            self._wait_caches (stop_time)
            
            成员= [self.member (pod)在self._pods.copy pod () . values ())

1像

Clay_Risser 2022年7月16日,10:51pm 8

好像下面的问题是密切相关的。

github.com/zalando/patroni

Patroni错误的证书错误

打开10:04AM - 14 11月20 UTC

关闭02:15PM——17日8月21日UTC

andrei-matei

你好,我是开在这里,因为我不知道这是一个错误或者我…我做错了什么。我用Patroni(脆postgres-operator)和在它开始的时候,我得到一个奇怪的错误关于SSL失败当试图连接到Kubernetes API。有一个地方,我需要设置一个CA,以便沟通工作吗?这是错误的:“2020-11-14 09:59:41,806警告:重试(重试(总= 0,连接=没有阅读= None,重定向= 0,状态= None))连接破碎后的SSLError (SSLError (1’(SSL CERTIFICATE_VERIFY_FAILED):证书验证失败(_ssl.c: 877)”),)”: / api / v1 /命名空间/ pgo /舱吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dhippo1 * * 2020-11-14 09:59:41,811错误:https://10.32.0.1:443请求到服务器失败:MaxRetryError (“HTTPSConnectionPool(主机= 10.32.0.1,端口= 443):马克斯重试超过url: / api / v1 /命名空间/ pgo / configmaps吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dhippo1 (SSLError所致(SSLError (1’(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 877)”),))”), 2020-11-14 09:59:41,812错误:https://10.32.0.1:443请求到服务器失败:MaxRetryError (“HTTPSConnectionPool(主机= 10.32.0.1,端口= 443):马克斯重试超过url: / api / v1 /命名空间/ pgo /舱吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dhippo1 (SSLError所致(SSLError (1’(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 877)”),))”), * * 2020-11-14 09:59:42,734错误:get_cluster * *回溯(最近的电话最后):文件“/ usr /地方/ lib / python3.6 /网站/ patroni / dcs / kubernetes。py”, 700行,在_load_cluster self._wait_caches (stop_time)文件“/ usr /地方/ lib / python3.6 /网站/ patroni / dcs / kubernetes。py”, 692行,_wait_caches提高RetryFailedError patroni.utils(“超过重试期限”)。RetryFailedError:“超过重试期限”* * 2020-11-14 09:59:42,734警告:得不到集群从dcs 2020-11-14 09:59:42,812错误:ObjectCache.run TypeError(“不支持的操作数类型(s) -:“NoneType”和“浮动”,)2020-11-14 09:59:42,813错误:ObjectCache.run TypeError(“不支持的操作数类型(s) -:“NoneType”和“浮动”,)2020-11-14 09:59:42,819警告:重试(重试(总= 0,连接=没有阅读=,= 0,重定向状态= None))连接破碎后的SSLError (SSLError (1”(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 877)”),)”: / api / v1 /命名空间/ pgo / configmaps吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dhippo1 2020-11-14 09:59:42,821警告:重试(重试(总= 0,连接=没有阅读=没有重定向= 0,状态= None))连接破碎后的SSLError (SSLError (1’(SSL: CERTIFICATE_VERIFY_FAILED)证书验证失败(_ssl.c: 877)”),)”: / api / v1 /命名空间/ pgo /舱吗?labelSelector =供应商% 3 dcrunchydata % 2 ccrunchy-pgha-scope % 3 dhippo1 Kubernetes API服务器上我能看到这个错误:日志。:172]http:从10.10.81.113:37460 TLS握手错误:远程错误:TLS:未知的证书颁发机构我运行在Kubernetes 18.10,与Kubeadm安装,运行在本地Centos 20.03 7机器,3连接到HAProxy和外部etcd大师。有谁知道为什么错误吗?我对表3天:敲我的头)提前谢谢,安德烈

1像

Clay_Risser 2022年7月16日,11:25pm 9

以下问题也是相关的。

github.com/jupyterhub/kubespawner

暴露Kubernetes客户机配置选项

打开03:08AM - 04 3月21 UTC

关闭09:12AM - 14 3月21 UTC

kafonek

增强

# # #提出改变注入公开方式“kubes配置选项…pawner.KubeSpawner。api的对象。现在似乎没有传入参数或kwargs实例化(“自我。api = shared_client (CoreV1Api)”)。# # #替代选择一些配置选项可以通过设置环境变量,但其他人不能。例如,“kubernetes.client.Configuration.get_default_copy ()。ssl_ca_cert“# # #谁会使用此功能?Kubernetes集群使用定制的CA证书可能配置错误,ca-certs提供给服务帐户(' / var /运行/机密/ kubernetes.io / serviceaccounts / CA。crt的枢纽内pod)与Kubernetes API服务器不工作。当Kubespawner试图列表初始化和豆荚的名称空间,它提出了一个“CERTIFICATE_VERIFY_FAILED”错误。见https://discourse.jupyter.org/t/enabling-jh-to-use-an-additional-ca-cert-when-calling-private-k8s-api/6662和讨论在Jupyerhub git之间我和@consideRatio 2021年3月1日/ 3月2。值得注意的是,很可能有一个集群管理解决这个问题。我不知道需要改变集群配置方面提供工作的ca。crt serviceaccount /陪机密的文件。不管怎样,我认为在Kubespawner和zero-to-jupyterhub配置提供配置选项。yaml是值得的。 ### (Optional): Suggest a solution I defer to @yuvipanda @consideRatio on how to implement this. From a user perspective, I would like to be able to mount my actual CA certs into the Pod and then tell KubeSpawner to use them either via ENV variables or as a config option. Imagine I have a `ca-certs` Secret in my namespace with a `ca.crt` file that includes the k8s API ca's, and I'm deploying jupyterhub with the zero-to-jupyterhub-k8s helm chart. ``` # config.yaml hub: extraVolumes: - name: ca-crt secret: secretName: ca-certs extraVolumeMounts: - name: ca-crt mountPath: /etc/pki/certs/ca-certificate.crt subPath: ca.crt # NEW SYNTAX (?) kubeSpawner: ssl_ca_cert: /etc/pki/certs/ca-certificate.crt # ALTERNATIVELY extraEnv: KUBESPAWNER_CA_CERT: /etc/pki/certs/ca-certificate.crt ``` ``` # kubespanwer.clients.py import kubernetes.client def shared_client(ClientType, *args, **kwargs): # caching stuff in here, not included for the sake of brevity # kubernetes.config.load_incluster_config() already called prior to invoking this function if 'KUBESPAWNER_CA_CERT' in os.environ: conf = kubernetes.client.Configuration.get_default_copy() conf.ssl_ca_cert = os.environ['KUBESPAWNER_CA_CERT'] kubernetes.client.Configuration.set_default(conf) Client = getattr(kubernetes.client, ClientType) client = Client(*args, **kwargs) return client ```

1像

Clay_Risser 2022年7月16日,11:32pm 10

一个相关的问题。

github.com/rook/rook

车下SSL: CERTIFICATE_VERIFY_FAILED

打开06:58PM 5月19日- 06 UTC

关闭06:32AM - 02年4月20 UTC

NickUfer

错误 wontfix

< !你在正确的地方——* * ?* * 1。请对问题或特性请求…创建该存储库中的一个问题。2。对于一般技术和非技术问题,我们很乐意帮助你车。io松弛)(https://slack.rook.io/)。3所示。你已经搜索类似的现有开放问题吗?- - > * *这是一个错误报告或特性请求吗?* * *错误报告* *偏离预期行为:* *的下打开仪表板但它只是一个空的页面。过了一段时间网络面板崩溃。有“车”ceph模块是不对的。它不能验证一些证书。 SSL/TLS is turned on for the mgr and it creates a new certificate on every pod recreation. ``` debug 2019-05-06 18:47:45.695 7f19e2794700 1 mgr[restful] server not running: no certificate configured [06/May/2019:18:47:45] ENGINE Started monitor thread '_TimeoutMonitor'. debug 2019-05-06 18:47:45.759 7f19e1f93700 -1 log_channel(cluster) log [ERR] : Unhandled exception from module 'rook' while running on mgr.a: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:618) debug 2019-05-06 18:47:45.759 7f19e1f93700 -1 rook.serve: [06/May/2019:18:47:45] ENGINE Bus STARTING [06/May/2019:18:47:45] ENGINE Serving on :::9283 [06/May/2019:18:47:45] ENGINE Bus STARTED [06/May/2019:18:47:45] ENGINE Started monitor thread '_TimeoutMonitor'. debug 2019-05-06 18:47:45.759 7f19e1f93700 -1 Traceback (most recent call last): File "/usr/share/ceph/mgr/rook/module.py", line 280, in serve self._k8s.list_namespaced_pod(cluster_name) File "/usr/lib/python2.7/site-packages/kubernetes/client/apis/core_v1_api.py", line 12514, in list_namespaced_pod (data) = self.list_namespaced_pod_with_http_info(namespace, **kwargs) File "/usr/lib/python2.7/site-packages/kubernetes/client/apis/core_v1_api.py", line 12617, in list_namespaced_pod_with_http_info collection_formats=collection_formats) File "/usr/lib/python2.7/site-packages/kubernetes/client/api_client.py", line 321, in call_api _return_http_data_only, collection_formats, _preload_content, _request_timeout) File "/usr/lib/python2.7/site-packages/kubernetes/client/api_client.py", line 155, in __call_api _request_timeout=_request_timeout) File "/usr/lib/python2.7/site-packages/kubernetes/client/api_client.py", line 342, in request headers=headers) File "/usr/lib/python2.7/site-packages/kubernetes/client/rest.py", line 231, in GET query_params=query_params) File "/usr/lib/python2.7/site-packages/kubernetes/client/rest.py", line 205, in request headers=headers) File "/usr/lib/python2.7/site-packages/urllib3/request.py", line 68, in request **urlopen_kw) File "/usr/lib/python2.7/site-packages/urllib3/request.py", line 81, in request_encode_url return self.urlopen(method, url, **urlopen_kw) File "/usr/lib/python2.7/site-packages/urllib3/poolmanager.py", line 247, in urlopen response = conn.urlopen(method, u.request_uri, **kw) File "/usr/lib/python2.7/site-packages/urllib3/connectionpool.py", line 574, in urlopen raise SSLError(e) SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:618) [06/May/2019:18:47:45] ENGINE Serving on :::8443 [06/May/2019:18:47:45] ENGINE Bus STARTED ``` **Expected behavior:** The mgr doesn't crash and the dashboard shows information. **How to reproduce it (minimal and precise):** Upgrade vom 0.9 to 1.0. **Environment**: * OS (e.g. from /etc/os-release): `Ubuntu 18.10 (Cosmic Cuttlefish)` * Kernel (e.g. `uname -a`): `Linux 4.18.0-17-generic #18-Ubuntu SMP Wed Mar 13 14:34:40 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux` * Cloud provider or hardware configuration: bare metal * Rook version (use `rook version` inside of a Rook Pod): * Kubernetes version (use `kubectl version`): `rook: v1.0.0-9.g5060a89` * Kubernetes cluster type (e.g. Tectonic, GKE, OpenShift): `Kubernetes` * Storage backend status (e.g. for Ceph use `ceph health` in the [Rook Ceph toolbox](https://rook.io/docs/rook/master/ceph-toolbox.html)): `HEALTH_ERR Module 'rook' has failed: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:618); 1 monitors have not enabled msgr2`

1像

Clay_Risser 2022年7月17日,2:51am 11

@Ege_Gunes我发现它不工作的原因是python不相信中级证书,和散步流言产生的ca是一个中级证书。

任何人有任何想法如何防止散步流言创建中级证书?

1像

Lenard_Pasztor 2023年7月4日,11:06am 12

@Ege_Gunes我刚刚安装了percona pg运营商2.2.0雷竞技下载官网然后我创建了一个集群pg-db舵图。实例失败开始,因为未能验证kubernetes api证书
使用一个中间Kubernetes CA所以我认为问题是一样的我的线程。
我想知道如果我可以提供完整的CA链可以工作吗?我还没有看到选项crd pg豆荚挂载卷。你能建议如何解决这个问题?

由话语,最好启用了JavaScript

map