Rancher自签证书:导入集群报错

Rancher Server 设置

  • Rancher 版本:2.9.2
  • 安装选项 (Docker install/Helm Chart):
    • 如果是 Helm Chart 安装,需要提供 Local 集群的类型(RKE1, RKE2, k3s, EKS, 等)和版本:
  • 在线或离线部署:在线

下游集群信息

  • Kubernetes 版本: 1.26.4
  • Cluster Type (Local/Downstream):
    • 如果 Downstream,是什么类型的集群?(自定义/导入或为托管 等): 导入

用户信息

  • 登录用户的角色是什么? (管理员/集群所有者/集群成员/项目所有者/项目成员/自定义):管理员
    • 如果自定义,自定义权限集:

主机操作系统:
ubuntu22.04
问题描述:
time=“2024-09-13T09:13:13Z” level=info msg=“Testing connection to https://192.168.16.22:30908 using trusted certificate authorities within: /etc/kubernetes/ssl/certs/serverca”
time=“2024-09-13T09:13:13Z” level=error msg="Could not securely connect to https://192.168.16.22:30908: Get "https://192.168.16.22:30908": tls: failed to verify certificate: x509: certificate signed by unknown authority (possibly because of "x509: ECDSA verification failure" while trying to verify candidate authority certificate "dynamiclistener-ca@1726021649")
重现步骤:

结果:

预期结果:

截图:

其他上下文信息:

日志


最好把完整的重现步骤列出来

k3s安装:curl -sfL https://rancher-mirror.rancher.cn/k3s/k3s-install.sh | INSTALL_K3S_MIRROR=cn sh -

rancher安装:helm install rancher rancher-stable/rancher --namespace cattle-system --set hostname=rancher.my.org

独立kubernetes集群:kuboard-spary方式安装,版本:1.26.4

导入集群时报错:
time=“2024-09-13T09:13:13Z” level=error msg="Could not securely connect to https://xx.xx.xx.xx:30908: Get “https://xx.xx.xx.xx:30908”: tls: failed to verify certificate: x509: certificate signed by unknown authority (possibly because of “x509: ECDSA verification failure” while trying to verify candidate authority certificate “dynamiclistener-ca@1726021649”)

如果你是这样安装的,那你的 K8s 版本不应该是 1.26

rancher安装在k3s上,k3s的版本时1.30+, 我单独部署了一个k8s集群(版本是1.26.4)

所需需要你完整的重现步骤,我看看我能不能重现这个问题。

部署流程和步骤:
k3s安装:curl -sfL https://rancher-mirror.rancher.cn/k3s/k3s-install.sh | INSTALL_K3S_MIRROR=cn sh -

rancher安装:helm install rancher rancher-stable/rancher --namespace cattle-system --set hostname=rancher.my.org

独立kubernetes集群:kuboard-spary方式安装,版本:1.26.4

导入集群命令:curl --insecure -sfL htps:/192.168.1.100:30908/v3/imprt/vflfxbgflg67fvgxnldjpfg5gkxv7nv84d2xc5&mrvxbnbm6dgvl_c-m-twgnzb69.yaml l kubectl aply -f -
我的步骤流程就是这样操作下来的,期间没有别的操作了。证书什么的都是默认的

Rancher 2.9 新增了 tls-agent-mode,如果是新安装的环境,这个值默认设置为 strict 模式了,需要按照文档描述选择配置合适的 TLS 选项

用默认的strict不行嘛?证书是rancher自签的

image
修改了这个选项,也不行。还是报上述错误。

这个有什么方法解决不

似乎发现了问题,就是全局ca证书跟tls-rancher-ingress和tls-rancher-internal-ca都不一样



把这些证书改成一样客户端就能正常校验了,能否看看是什么原因吗。