在 Kubernetes 控制平面中停用 tls 加密

Question

我想观察控制平面元素之间交换的数据包，但它们是 tls 加密的。 我一直在使用wireshark和minikube。由于解密数据包看起来相当复杂，我尝试修改位于

/etc/kubernetes

虚拟机中的配置文件和清单以停用 tls，但没有成功（大多数时候控制平面 Pod 崩溃）。 我对 kube-controller-manager 特别感兴趣，想知道它是否可能。

Answer 1

请注意，出于安全风险，不建议直接在设置中禁用 TLS 加密。这可能会泄露敏感信息，并且正如您所说，它可能会崩溃，因此这不是最佳实践。

要实现无需解密的可观察性，您可以尝试使用 Kubernetes 日志记录和指标（例如，kube-controller-manager 提供的 Prometheus 指标）。请参阅此文档和 K8s API 服务器日志以获取有关此内容的更多信息。 日志提供了有关控制平面活动的宝贵见解。

您可以参考此官方 GCP 文档，了解 GKE 如何保护集群控制平面。