Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Un nome alternativo dell'oggetto (SAN) è una funzionalità dei certificati SSL che consente di
definire i nomi di dominio e i sottodomini protetti da un certificato. In un
cluster Google Distributed Cloud, i SAN predefiniti per il certificato del
server API Kubernetes includono gli indirizzi IP e VIP dei nodi del piano di controllo e i
nomi DNS di Kubernetes. Con la funzionalità di certificati server API personalizzati con SAN aggiuntivi,
puoi aggiungere altri domini, sottodomini e indirizzi IP come SAN al
certificato del server API Kubernetes per il cluster.
Per specificare SAN personalizzati per il certificato del server API, utilizza il
campo controlPlane.apiServerCertExtraSANs
nella specifica di configurazione del cluster. Questo campo accetta un elenco di nomi di dominio
e indirizzi IP. Questo campo è facoltativo e mutabile. Puoi aggiungere questo campo e
aggiornarlo quando crei un cluster o in un secondo momento.
Aggiungere domini durante la creazione del cluster
Quando aggiungi SAN aggiuntive durante la creazione di un cluster, il certificato del server API Kubernetes include i domini e gli indirizzi IP specificati aggiuntivi quando il cluster diventa disponibile.
Aggiungere o aggiornare i domini per un cluster esistente
Poiché il campo apiServerCertExtraSANs è mutabile, puoi aggiungerlo o aggiornarlo in qualsiasi momento per i cluster esistenti. Quando modifichi il campo apiServerCertExtraSANs nel cluster, vengono attivate le seguenti attività:
I controller dei cluster Google Distributed Cloud rigenerano il certificato del server API per includere i domini aggiuntivi modificati.
I controller del cluster riavviano l'API server per ricaricare il nuovo
certificato.
Il pool di nodi del piano di controllo entra in uno stato di riconciliazione.
Control Plane Node Pool Status:Anthos Bare Metal Version:1.28.0-gke.435Anthos Bare Metal Versions:1.28.0-gke.435:3Conditions:...Last Transition Time:2023-11-15T18:23:49ZObserved Generation:1Reason:ReconcilingStatus:TrueType:Reconciling
Il pool di nodi diventa pronto dopo la propagazione della modifica ai server API Kubernetes su ogni nodo del piano di controllo.
Control Plane Node Pool Status:Anthos Bare Metal Version:1.28.0-gke.435Anthos Bare Metal Versions:1.28.0-gke.435:3Conditions:. . .Last Transition Time:2023-11-15T18:32:25ZObserved Generation:1Reason:ReconciliationCompletedStatus:FalseType:Reconciling
Potresti riscontrare un tempo di riposo durante l'aggiornamento del campo SAN aggiuntive del certificato del server API in un cluster in esecuzione:
Nei cluster ad alta disponibilità (HA), le istanze del server API si riavviano
in sequenza. Puoi comunque interagire con il cluster durante l'aggiornamento del certificato, perché il bilanciatore del carico distribuisce le richieste a ciascun server API.
Tuttavia, potresti visualizzare una risposta che indica che il server API si sta spegnendo. Se vedi questa risposta, riprova a inviare la richiesta.
Nei cluster non ad alta disponibilità, potrebbe verificarsi una breve interruzione di circa un minuto durante il riavvio di un server API per ricaricare il nuovo certificato.
La modifica richiede 5-20 minuti per essere propagata a tutti i server API, a seconda del numero di nodi del piano di controllo nel cluster e del carico del cluster.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-01 UTC."],[],[],null,["A subject alternative name (SAN) is a feature of SSL certificates that lets you\ndefine the domain names and subdomains that are secured by a certificate. On an\nGoogle Distributed Cloud cluster, the default SANs for the Kubernetes API server\ncertificate include the IP and VIP addresses of the control plane nodes and the\nKubernetes DNS names. With the custom API server certificate extra SANs feature,\nyou can add additional domains, subdomains, and IP addresses as SANs to the\nKubernetes API server certificate for the cluster.\n\nTo specify custom SANs for the API server certificate, you use the\n[`controlPlane.apiServerCertExtraSANs`](/kubernetes-engine/distributed-cloud/bare-metal/docs/reference/cluster-config-ref#controlplane-apiservercertextrasans)\nfield in the cluster configuration spec. This field takes a list of domain names\nand IP addresses. This field is optional and mutable. You can add this field and\nupdate it when you create a cluster or any time after. \n\n ...\n kind: Cluster\n metadata:\n name: sample001\n namespace: cluster-sample001\n spec:\n type: user\n ...\n controlPlane:apiServerCertExtraSANs:\n - \"demo-dns.example.com\"\n - \"sample-dns.com\"\n nodePoolSpec:\n nodes:\n - address: 10.200.0.20\n clusterNetwork:\n ...\n\nAdd domains during cluster creation\n\nWhen you add extra SANs when you create a cluster, the Kubernetes API server\ncertificate includes the additional specified domains and IP addresses when the\ncluster becomes available.\n\nAdd or update domains for an existing cluster\n\nBecause the `apiServerCertExtraSANs` field is mutable, you can add or update the\nfield at any time for existing clusters. When you modify the\n`apiServerCertExtraSANs` field in the cluster, it triggers the following\nactivities:\n\n- The Google Distributed Cloud cluster controllers regenerate the API server\n certificate to include the modified extra domains.\n\n- The cluster controllers restart the API server to reload the new\n certificate.\n\n- The new values of `apiServerCertExtraSANs` are verified by a webhook to\n ensure that they conform to the [RFC 1035 domain name\n conventions](https://datatracker.ietf.org/doc/html/rfc1035).\n\n- The control plane node pool enters a reconciling state.\n\n Control Plane Node Pool Status:\n Anthos Bare Metal Version: 1.28.0-gke.435\n Anthos Bare Metal Versions:\n 1.28.0-gke.435: 3\n Conditions:\n ...\n Last Transition Time: 2023-11-15T18:23:49Z\n Observed Generation: 1Reason: Reconciling\n Status: True\n Type: Reconciling\n\n- The node pool becomes ready after the change propagates to the Kubernetes\n API servers on each control plane node.\n\n Control Plane Node Pool Status:\n Anthos Bare Metal Version: 1.28.0-gke.435\n Anthos Bare Metal Versions:\n 1.28.0-gke.435: 3\n Conditions:\n . . .\n Last Transition Time: 2023-11-15T18:32:25Z\n Observed Generation: 1Reason: ReconciliationCompleted\n Status: False\n Type: Reconciling\n\nYou might experience downtime when updating the API server certificate extra\nSANs field on a running cluster:\n\n- On high availability (HA) clusters, API server instances restart\n sequentially. You can still interact with the cluster during the certificate\n update, because the load balancer distributes requests to each API server.\n However, you might see a response indicating that the API server is shutting\n down. If you see this response, retry the request.\n\n- On non-HA clusters, there might be a brief outage of about one minute while\n an API server restarts to reload the new certificate.\n\nThe change takes 5-20 minutes to propagate to all API servers, depending on the\nnumber of control plane nodes in the cluster and the load of the cluster."]]
