kubernetes 安装 metrics server 时，出现 SANs 的问题

背景

k8s 安装过程中，由于想要查看集群中 pod 的 cpu 和 memory 的使用情况，因此需要 metrics server 的支持。

metrics server 能够收集 kubelet 中的各种资源指标，并将其 expose 到 apiserver 中，以便于实现对集群资源的监控和管理。

安装

通过 here 可以了解到详细的 metrics server 的资料。 metrics server 可以通过官方提供的在线的 yaml 文件的形式直接安装：

1

kubectl apply -f https://github.com/kubernetes-sigs/metrics-server/releases/latest/download/components.yaml

BUG

安装完成后，发现 pod 迟迟无法启动，查看 pod 的 describe 时，出现 error： x509: cannot validate certificate for 172.16.52.132 because it doesn't contain any IP SANs

Troubleshooting

出现该问题的原因主要是：默认情况下，kubelet 的证书是通过 kubeadm 自签名获得，在引入的一些外部服务中签名不被承认所导致的

Solutions

方法一在安装 metrics server 前，将官方提供的 yaml 文件下载下来后，添加参数 --kubelet-insecure-tls 即可。大致位置，可以参考以下内容的最后一行。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    k8s-app: metrics-server
  name: metrics-server
  namespace: kube-system
spec:
  selector:
    matchLabels:
      k8s-app: metrics-server
  strategy:
    rollingUpdate:
      maxUnavailable: 0
  template:
    metadata:
      labels:
        k8s-app: metrics-server
    spec:
      containers:
      - args:
        - --cert-dir=/tmp
        - --secure-port=4443
        - --kubelet-preferred-address-types=InternalIP,ExternalIP,Hostname
        - --kubelet-use-node-status-port
        - --metric-resolution=15s
        - --kubelet-insecure-tls
	...
	...

方法二通过获取正确的证书服务来解决编辑 kube-system 命名空间下的 kubelet-config-1.23 文件，加入 serverTLSBootstrap: true,然后重启每一个节点的 kubelet 服务即可。

Reference

github issue offical docs