如何选择合适客户端证书配置Terraform Kubernetes provider连接集群

证书选择说明 #

你提到的三个证书组都不适合直接给Terraform的Kubernetes Provider做客户端认证用，各个证书的用途如下：

• front-proxy-client：用于Kubernetes聚合层（Aggregation Layer）的前端代理客户端认证，仅用于API服务内部扩展场景，不能用于普通客户端访问集群
• apiserver-kubelet-client：用于kube-apiserver和集群节点上的kubelet组件通信的专用证书，权限仅针对kubelet交互，无法操作集群常规资源
• 你提到的api-server-client是apiserver的服务端证书，是集群对外提供服务时用的服务端凭证，不能作为客户端证书使用

正确的证书选择方案 #

推荐直接使用集群生成的管理员客户端证书，路径为/etc/kubernetes/pki/admin.crt，对应的密钥为/etc/kubernetes/pki/admin.key，集群CA证书使用/etc/kubernetes/pki/ca.crt即可。
对应的Provider配置调整为（Terraform 0.12及以上版本不需要用${}包裹file函数）：

provider "kubernetes" {
  host = "https://xxx.xxx.xxx.xxx:6443" # 未修改端口的话默认apiserver端口为6443，需要补充填写

  client_certificate     = file("/etc/kubernetes/pki/admin.crt")
  client_key             = file("/etc/kubernetes/pki/admin.key")
  cluster_ca_certificate = file("/etc/kubernetes/pki/ca.crt")
}

更简化的配置方式 #

你不需要手动指定证书路径，只要当前操作的机器上已经配置了可用的kubeconfig（默认路径~/.kube/config），Provider会自动读取kubeconfig里的认证信息，不需要额外填写证书配置，最简配置如下：

provider "kubernetes" {}

如果你要自定义kubeconfig路径，可以加config_path参数：

provider "kubernetes" {
  config_path = "~/.kube/config"
}

这种方式和kubectl访问集群用的是同一套认证逻辑，只要kubectl能正常访问集群，Terraform就能正常连接，不需要额外处理证书问题。

内容的提问来源于stack exchange，提问作者joe1531