导入证书和KubeConfig

导入工具说明

• 组件及对应导入文件的说明请参考表 组件导入文件说明，详细命令参数请参考表 导入工具参数说明。

  表1 组件导入文件说明

  组件	导入文件类型	导入命令示例	说明
  NPU-Exporter	HTTPS证书	./cert-importer -certFile={certFile} -keyFile={keyFile} -caFile={caFile} -crlFile={crlFile} -cpt={component}	对外提供了API接口，默认启用HTTPS服务，需要导入证书。 说明： 用户可以自行修改组件启动参数，通过“-enableHTTP=true”开启HTTP服务，由此带来的安全风险需用户自行承担（仅NPU-Exporter组件支持该参数）。 只支持X509V3版本的证书，根证书的秘钥用法必须包含证书签名。 如果使用RSA类型私钥，必须满足长度大于等于3072bit；如果是ECC类型的私钥，必须满足长度大于等于256bit。
  HCCL-Controller	连接K8s的KubeConfig文件	./cert-importer -kubeConfig={kubeFile} -cpt={component}	由于K8s自带的ServerAccount的token文件会挂载到物理机上，有暴露风险，可通过外部导入加密KubeConfig文件替换ServerAccount进行安全加固。 Ascend Device Plugin以二进制启动，无访问K8s的权限，因此需要通过外部导入加密KubeConfig文件来授权。
  NodeD
  Resilience-Controller
  Ascend Device Plugin

• 工具支持的操作如表 操作说明。

  表2 操作说明

  操作	说明
  新增	导入证书、私钥或KubeConfig等文件。
  更新	导入新的证书、私钥或KubeConfig等文件，替换旧的文件。 重新导入后，需要重启业务组件才生效。请提前规划证书的有效期，有效期要匹配产品生命周期，不能过长或者过短，避免业务组件重启导致业务中断。

• 默认情况下，私钥证书导入成功后，工具会自动删除私钥和KubeConfig授权文件，用户可通过-n参数停用自动删除功能。如果不自动删除，用户应妥善保管相关配置文件，如果决定不再使用相关文件，请立即删除私钥和加密密文等敏感信息，防止意外泄露。
• 导入的证书等文件会被重新加密并存入“/etc/mindx-dl”目录中，具体参考表 集群调度组件证书配置文件表。
• 如果从3.0.RC3及以后版本降级到3.0.RC3之前的旧版本，需在手动删除“/etc/mindx-dl/”目录下的文件后，重新使用旧版cert-importer工具导入证书。
• 证书导入工具加密需要系统有足够的熵池（random pool）。如果熵池不够，程序可能阻塞，可以安装haveged组件来进行补熵。

  安装命令可参考：

  • 类似CentOS操作系统：yum install haveged -y
  • 类似Ubuntu操作系统：apt install haveged -y

导入HTTPS证书

1. 使用root用户登录各个对应组件需要安装的服务器，参考组件安装位置。
2. 进入组件安装包解压路径，将lib文件夹设置到当前窗口的环境变量LD_LIBRARY_PATH中，环境变量不需要持久化或继承给其他用户（证书导入工具需要配置自带的加密组件相关的so包路径）。

   export LD_LIBRARY_PATH=${LD_LIBRARY_PATH}:`pwd`/lib/

3. 使用安装包解压路径下的cert-importer工具导入证书，导入证书命令示例如下，详细命令参数请参考表6。

   ./cert-importer -certFile=/xxx/server.crt -keyFile=/xxx/server.key -caFile=/xxx/ca.crt -crlFile=/xxx/server.crl -cpt=ne    

   表3 证书导入场景说明

   导入证书场景名称	认证方式	说明
   服务证书（-certFile）、服务私钥（-keyFile）	单向认证	加密过的私钥在导入时要求输入私钥解密口令。 安装NPU-Exporter的每个节点默认均需要使用证书。若无证书，则不能启动。
   服务证书（-certFile）、服务私钥（-keyFile）、对端根证书（-caFile）、离线的证书吊销列表文件（-crlFile，可选参数）	双向认证

导入KubeConfig文件

1. 生成KubeConfig配置文件，从MindXDL-deploy仓库上拉取“createKubeConfig.sh”文件到K8s管理节点，执行以下命令生成各组件的KubeConfig文件。

   bash createKubeConfig.sh  https://<masterIP>:6443 

   如执行上述命令出错，可执行如下命令之后重试。

   unset LD_LIBRARY_PATH

2. 将K8s管理节点“/etc/kubernetes/mindxdl”目录下各组件的Kubeconfig配置文件放置到组件的安装节点任意目录下（如“/etc/kubernetes/mindxdl”）。
3. 进入各节点组件安装包解压路径，将lib文件夹设置到当前窗口的环境变量LD_LIBRARY_PATH中，不需要持久化或继承给其他用户（证书导入工具需要配置自带的加密组件相关的so包路径）。

   export LD_LIBRARY_PATH=${LD_LIBRARY_PATH}:`pwd`/lib/

4. 在各节点导入各组件的KubeConfig配置文件参考命令如下，详细命令参数请参考表6。

   表4 各组件导入KubeConfig文件命令

   组件	导入KubeConfig文件命令
   HCCL-Controller	./cert-importer -kubeConfig=/etc/kubernetes/mindxdl/hccl-controller-cfg.conf -cpt=hc
   NodeD	./cert-importer -kubeConfig=/etc/kubernetes/mindxdl/noded-cfg.conf -cpt=nd
   Ascend Device Plugin	./cert-importer -kubeConfig=/etc/kubernetes/mindxdl/device-plugin-cfg.conf -cpt=dp
   Resilience-Controller	./cert-importer -kubeConfig=/etc/kubernetes/mindxdl/resilience-controller-cfg.conf -cpt=rc