将节点添加到Kubernetes控制平面时的证书密钥

Question

所以我知道如何将一个工作节点添加到现有的Kubernetes 1.14集群（使用kubeadm设置）：kubeadm token create --print-join-command将打印一个有效的kubeadm join命令，其中包含参数--token和--discovery-token-ca-cert-hash的正确值。

我目前了解到，为了向控制平面（主节点）添加另一个节点，kubeadm join需要额外的参数--experimental-control-plane（w / o value）和--certificate-key。这适用于堆叠控制平面和etcd节点。

如何（在哪个文件中）我可以为现有集群获取--certificate-key的正确值？

更新我的第一个（也是当前唯一的）主节点是在没有参数--experimental-upload-certs到kubeadm init的情况下创建的（但是由kubeadm init --pod-network-cidr=10.244.0.0/16代替）。因此，manual certificate distribution应该适用，因此可能的步骤可能是：

1. 将/etc/kubernetes/pki/{ca.*,sa.*,front-proxy-sa.*,etcd/ca.*}中的证书和密钥从第一个主节点复制到新的主节点
2. 在第一个主节点上运行kubeadm token create --print-join-command
3. 使用新主节点上的附加参数kubeadm join运行打印的--experimental-control-plane命令

这是正确的程序吗？

Answer 1

根据documentation，此命令提供了一个新的解密密钥：

kubeadm init phase upload-certs --experimental-upload-certs