Ubicación, Estructura y Manejo básico de certificados.

                                          

Kubernetes utiliza certificados TLS (X.509) para cifrar la comunicación entre sus componentes y autenticar identidades (usuarios, nodos, API Server, etc.). Estos certificados son generados y gestionados automáticamente cuando se instala un clúster con kubeadm.

En este artículo, veremos dónde se almacenan los certificados, cuál es su estructura y cómo inspeccionarlos fácilmente, una habilidad muy útil para el examen CKA.

Cuando creas un clúster con kubeadm, los certificados se generan por defecto en el directorio:

/etc/kubernetes/pki/

Puedes ver su contenido con:

ls -l /etc/kubernetes/pki/

También hay certificados en:

/etc/kubernetes/

(ahí verás admin.conf, kubelet.conf, etc., que incluyen certificados embebidos, como veremos más abajo).

🧱 Estructura de los certificados en /etc/kubernetes/pki

Aquí tienes una estructura común generada por kubeadm:

🔍 ¿Qué hace cada certificado?

📄 Cómo inspeccionar un certificado:

openssl x509 -in /etc/kubernetes/pki/apiserver.crt -text -noout

Algunos campos importantes que puedes revisar:

• Subject: identifica al propietario del certificado (por ejemplo, CN=kube-apiserver)

• Issuer: quién emitió el certificado (normalmente CN=kubernetes o CN=ca)

• Not Before / Not After: fechas de validez

• Subject Alternative Name (SAN): las IPs y dominios válidos para el certificado

• Key Usage y Extended Key Usage: qué puede hacer el certificado (firma, cifrado, autenticación TLS)

🔧 Cómo ver el contenido de los .conf que usan certificados

Los archivos .conf como admin.conf, controller-manager.conf, etc. contienen los certificados y claves embebidos en base64.

Puedes inspeccionarlos así:

kubectl config view --kubeconfig=/etc/kubernetes/admin.conf

O ver directamente los bloques codificados:

grep certificate-authority-data /etc/kubernetes/admin.conf

grep client-certificate-data /etc/kubernetes/admin.conf

Para decodificarlos:

grep client-certificate-data /etc/kubernetes/admin.conf | awk '{print $2}' | base64 -d | openssl x509 -text -noout

📌 Buenas prácticas

• Nunca compartas la clave privada ca.key: permite firmar nuevos certificados, ¡es muy sensible!

• Guarda copias de seguridad de los certificados si gestionas entornos de producción.

• Verifica que los certificados no estén caducados (openssl x509 -enddate ...).

• Usa siempre certificados con la menor duración posible sin afectar operatividad.

🧪 Pregunta tipo CKA

Un worker nuevo no puede comunicarse con el API Server por error TLS. ¿Cómo verificarías si el certificado del API Server está bien configurado?

✅ Revisa /etc/kubernetes/pki/apiserver.crt con openssl, y asegúrate de que su SAN incluya la IP del API Server (192.168.X.X), y que esté dentro de la fecha de validez.

Comprender dónde están, cómo están organizados y cómo inspeccionar los certificados de Kubernetes es esencial tanto para el día a día como para superar el examen CKA. En el próximo capítulo veremos cómo renovar o rotar estos certificados de forma segura con kubeadm.