共计 2356 个字符，预计需要花费 6 分钟才能阅读完成。

在运维主机 200 上安装 cfssl
准备签发证书环境
运维主机 HDSS7-200.host.com 上：

安装 CFSSL
证书签发工具 CFSSL:R1.2
cfssl 下载地址
cfssl-json 下载地址
cfssl-certinfo 下载地址
https://github.com/cloudflare/cfssl/releases?page=2

[root@hdss7-200 ~]# wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 -O /usr/bin/cfssl
[root@hdss7-200 ~]# wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 -O /usr/bin/cfssl-json
[root@hdss7-200 ~]# wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64 -O /usr/bin/cfssl-certinfo
chmod +x /usr/bin/cfssl*

mv cfssl_linux-amd64 /usr/bin/cfssl
mv cfssljson_linux-amd64 /usr/bin/cfssl-json
mv cfssl-certinfo_linux-amd64 /usr/bin/cfssl-certinfo

注意中文注释会有问题，使用无注释的配置文件即可

[root@hdss7-200 ~]# vim /opt/certs/ca-csr.json
{

"CN": "OldboyEdu",        # 机构名称，浏览器使用该字段验证网站是否合法，一般写的是域名，非常重要，浏览器使用该字段验证网站是否合法
"hosts": [ ],
"key": {            
    "algo": "rsa",        # 算法
    "size": 2048        # 长度
},
"names": [
    {
        "C": "CN",        # C，国家
        "ST": "beijing",    # ST 州，省
        "L": "beijing",    # L 地区 城市
        "O": "od",        # O 组织名称，公司名称
        "OU": "ops"        # OU 组织单位名称，公司部门
    }
],
"ca": {"expiry": "175200h"    # expiry 过期时间，任何证书都有过期时间.20 年}

}

无注释配置文件

{
    "CN": "g6k",
    "hosts": [ ],
    "key": {            
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "ST": "beijing",
            "L": "beijing",
            "O": "od",
            "OU": "ops"
        }
    ],
    "ca": {"expiry": "175200h"}
}

签发根证书

cfssl gencert -initca ca-csr.json | cfssl-json -bare ca

部署 docker 环境
在 node 主机与运维主机上：21、22、200

curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun

[root@hdss7-200]# vim /etc/docker/daemon.conf
{
  "graph": "/data/docker",
  "storage-driver": "overlay2",
  "insecure-registries": ["registry.access.redhat.com","quay.io","harbor.od.com"],
  "registry-mirrors": ["https://q2gr04ke.mirror.aliyuncs.com"],
  "bip": "172.7.200.1/24",            # 定义 k8s 主机上 k8s pod 的 ip 地址网段
  "exec-opts": ["native.cgroupdriver=systemd"],
  "live-restore": true
}

[root@hdss7-200 ~]# systemctl start docker
[root@hdss7-200 ~]# systemctl enable docker

注意使用您自己的阿里云 docker 加速地址

[root@hdss7-21]# vim /etc/docker/json.conf
{
  "graph": "/data/docker",
  "storage-driver": "overlay2",
  "insecure-registries": ["registry.access.redhat.com","quay.io","harbor.od.com"],
  "registry-mirrors": ["https://xxxx.mirror.aliyuncs.com"],
  "bip": "172.7.21.1/24",
  "exec-opts": ["native.cgroupdriver=systemd"],
  "live-restore": true
}

[root@hdss7-22]# vim /etc/docker/daemon.json
{
  "graph": "/data/docker",
  "storage-driver": "overlay2",
  "insecure-registries": ["registry.access.redhat.com","quay.io","harbor.od.com"],
  "registry-mirrors": ["https://xxxxx.mirror.aliyuncs.com"],    
  "bip": "172.7.22.1/24",
  "exec-opts": ["native.cgroupdriver=systemd"],
  "live-restore": true
}

重启 docker

systemctl start docker
systemctl enable docker