使用 x509certificateexporter 监控 Kubernetes 集群组件的证书

登录控制台后，点击左上角的平台管理，然后选择访问控制。

在帐户角色中，有如下所示四个可用的内置角色。接下来要创建的第一个用户将被分配 users-manager 角色。

在帐户管理中，点击创建。在弹出窗口中，提供所有必要信息（带有*标记），然后在角色字段选择 users-manager。请参考下图示例。

完成后，点击确定。新创建的帐户将显示在帐户管理中的帐户列表中。

切换帐户使用 user-manager 重新登录，创建如下三个新账户。

查看创建的三个帐户。

以 ws-manager 身份登录 KubeSphere，它具有管理平台上所有企业空间的权限。点击左上角的平台管理，选择访问控制。在企业空间中，可以看到仅列出了一个默认企业空间 system-workspace，即系统企业空间，其中运行着与系统相关的组件和服务，您无法删除该企业空间。

点击右侧的创建，将新企业空间命名为 demo-workspace，并将用户 ws-admin 设置为企业空间管理员，如下图所示：

完成后，点击创建。

登出控制台，然后以 ws-admin 身份重新登录。在企业空间设置中，选择企业成员，然后点击邀请成员。

邀请 project-regular 进入企业空间，授予其 workspace-viewer 角色。

实际角色名称的格式：-。例如，在名为 demo-workspace 的企业空间中，角色 viewer 的实际角色名称为 demo-workspace-viewer。

将 project-regular 添加到企业空间后，点击确定。在企业成员中，您可以看到列出的两名成员。

以 ws-admin 身份登录 KubeSphere，在项目管理中，点击创建。

输入项目名称（例如 exporter），然后点击确定完成，您还可以为项目添加别名和描述。

在项目管理中，点击刚创建的项目查看其详细信息。

邀请 project-regular 至该项目，并授予该用户 operator 角色。请参考下图以了解具体步骤。

具有 operator 角色的用户是项目维护者，可以管理项目中除用户和角色以外的资源。

以 ws-admin 用户登录 KubeSphere 的 Web 控制台。在您的企业空间中，进入应用管理下的应用仓库页面，并点击添加仓库。

在弹出的对话框中，将应用仓库名称设置为 enix，将应用仓库的 URL 设置为 https://charts.enix.io，点击验证对 URL 进行验证，再点击确定进入下一步。

应用仓库导入成功后会显示在如下图所示的列表中。

登出 KubeSphere 并以 project-regular 用户重新登录。在您的项目中，进入应用负载下的应用页面，再点击部署新应用。

在弹出的对话框中选择来自应用模板。

在弹出的对话框中选择来自应用模板。

来自应用商店：选择内置的应用和以 Helm Chart 形式单独上传的应用。

来自应用模板：从私有应用仓库和企业空间应用池选择应用。

从下拉列表中选择之前添加的私有应用仓库 enix。

选择 x509-certificate-exporter 进行部署。

您可以查看应用信息和配置文件，在版本下拉列表中选择版本，然后点击部署。

设置应用名称，确认应用版本和部署位置，点击下一步。

接下来进入应用配置页面。

这里需要手动编辑配置清单，指定证书文件的路径。

  daemonSets:
    master:
      nodeSelector:
        node-role.kubernetes.io/master: ''
      tolerations:
        - effect: NoSchedule
          key: node-role.kubernetes.io/master
          operator: Exists
      watchFiles:
        - /var/lib/kubelet/pki/kubelet-client-current.pem
        - /etc/kubernetes/pki/apiserver.crt
        - /etc/kubernetes/pki/apiserver-kubelet-client.crt
        - /etc/kubernetes/pki/ca.crt
        - /etc/kubernetes/pki/front-proxy-ca.crt
        - /etc/kubernetes/pki/front-proxy-client.crt
      watchKubeconfFiles:
        - /etc/kubernetes/admin.conf
        - /etc/kubernetes/controller-manager.conf
        - /etc/kubernetes/scheduler.conf
    nodes:
      tolerations:
        - effect: NoSchedule
          key: node-role.kubernetes.io/ingress
          operator: Exists
      watchFiles:
        - /var/lib/kubelet/pki/kubelet-client-current.pem
        - /etc/kubernetes/pki/ca.crt

该配置会创建两个 DaemonSet，master 运行在控制节点，nodes 运行在计算节点。

$ kubectl -n exporter get ds

NAME                                    DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR                     AGE
x509-x509-certificate-exporter-master   1         1         1       1            1           node-role.kubernetes.io/master=   3d14h
x509-x509-certificate-exporter-nodes    3         3         3       3            3                                       3d14h

参数解释：

• watchFiles : 证书文件所在的路径。
• watchKubeconfFiles : Kubeconfig 文件所在的路径。

改完后的效果如图所示。

点击部署，等待应用创建完成并开始运行。