Solución. Ejercicio 2, CKA – TLS Bootstrapping. Bloque 1. Cluster Architecture, Installation & Configuration

 

✅ Solución paso a paso: TLS Bootstrapping manual

🔹 Paso 1: Generar un token bootstrap en el nodo controlplane

kubeadm token create --ttl 2h \
  --description "Token para worker1 TLS Bootstrapping"

Resultado esperado:

a1b2c3.d4e5f6g7h8i9j0kl

Apunta ese token, lo necesitarás en worker1.

---

🔹 Paso 2: Crear el ClusterRoleBinding necesario

kubectl create clusterrolebinding kubelet-bootstrap \
  --clusterrole=system:node-bootstrapper \
  --group=system:bootstrappers

Esto permite que los nodos que se unan con ese token puedan solicitar certificados al API Server.

---

🔹 Paso 3: En el nodo worker1, configurar el kubelet con el token

Primero, aseguramos que el kubelet esté habilitado y configurado.

a) Crea el archivo /etc/kubernetes/bootstrap-kubeconfig

KUBE_API_SERVER="https://<IP o nombre del master>:6443"
TOKEN="<tu-token-generado-en-el-paso-1>"

kubectl config set-cluster bootstrap \
  --server=${KUBE_API_SERVER} \
  --insecure-skip-tls-verify=true \
  --kubeconfig=/etc/kubernetes/bootstrap-kubeconfig

kubectl config set-credentials kubelet-bootstrap \
  --token=${TOKEN} \
  --kubeconfig=/etc/kubernetes/bootstrap-kubeconfig

kubectl config set-context bootstrap \
  --cluster=bootstrap \
  --user=kubelet-bootstrap \
  --kubeconfig=/etc/kubernetes/bootstrap-kubeconfig

kubectl config use-context bootstrap \
  --kubeconfig=/etc/kubernetes/bootstrap-kubeconfig

b) Edita /var/lib/kubelet/config.yaml para usar ese archivo

Asegúrate de incluir:

apiVersion: kubelet.config.k8s.io/v1beta1
kind: KubeletConfiguration
authentication:
  x509:
    clientCAFile: "/etc/kubernetes/pki/ca.crt"
bootstrapKubeconfig: /etc/kubernetes/bootstrap-kubeconfig

c) Activa e inicia el servicio kubelet:

systemctl enable kubelet
systemctl start kubelet

El kubelet intentará conectarse y enviar su CSR al API Server.

---

🔹 Paso 4: En controlplane, verifica la CSR enviada

kubectl get csr

Debes ver algo como:

NAME        AGE   SIGNERNAME                                    REQUESTOR           CONDITION
csr-xxxxx   10s   kubernetes.io/kube-apiserver-client-kubelet   system:bootstrap:xxx   Pending

---

🔹 Paso 5: Aprueba manualmente la CSR

kubectl certificate approve csr-xxxxx

---

🔹 Paso 6: Verifica que el nodo aparece y está en estado Ready

kubectl get nodes

Debes ver worker1 listado y en estado Ready.