Container Service for Kubernetes:kubectl を使用した ACK クラスターへの接続

手順1：kubectl クライアントのインストールと設定

kubectl をインストールするクライアントマシンを特定します。 ご使用のオペレーティング環境とクラスターバージョンに基づいて、kubectl をインストールします。

手順2：kubeconfig の取得と使用

kubeconfig で使用されている証明書に関連付けられたID情報を取得するにはどうすればよいですか？

grep client-certificate-data kubeconfig |awk '{print $2}' |base64 -d | openssl x509 -noout -text |grep Subject:

        Subject: O=system:users, OU=, CN=1***-1673419473

kubeconfig で使用されている証明書の有効期限を取得するにはどうすればよいですか？

grep client-certificate-data kubeconfig |awk '{print $2}' |base64 -d | openssl x509 -noout -enddate

notAfter=Jan 10 06:44:34 2026 GMT

証明書の有効期限が切れる 180 日前から、または有効期限が切れた後、コンソールまたは OpenAPI を介して、新しい有効期限を持つ証明書を使用する kubeconfig を取得できます。

クライアント証明書、クライアント秘密鍵、API サーバー情報を取得するにはどうすればよいですか？

次のコマンドを使用して、kubeconfig ファイルからクライアント証明書、クライアント秘密鍵、API サーバー情報を抽出します。

cat  ./kubeconfig |grep client-certificate-data | awk -F ' ' '{print $2}' |base64 -d > ./client-cert.pem
cat  ./kubeconfig |grep client-key-data | awk -F ' ' '{print $2}' |base64 -d > ./client-key.pem
APISERVER=`cat  ./kubeconfig |grep server | awk -F ' ' '{print $2}'`

kubeconfig のパスを実際のパスに置き換えてください。 デフォルトでは、kubectl は $HOME/.kube/config を使用してクラスターに接続します。 KUBECONFIG 環境変数を設定するか、--kubeconfig パラメーターを使用して、別の kubeconfig ファイルを指定することもできます。

kubectl を使用してクラスターに接続する際に発生する certificate is valid for エラーを解決するにはどうすればよいですか？

クラスター API サーバーの Server Load Balancer (SLB) インスタンスに新しい IP アドレスをバインドした後、kubectl コマンドを実行して新しい IP アドレスにアクセスしようとすると、"Error while proxying request: x509: certificate is valid for xxx" または "Unable to connect to the server: x509: certificate is valid for xxx" というエラーで失敗することがあります。

• ACK マネージドクラスター：新しい IP アドレスを API サーバーの証明書 SAN に追加します。 詳細については、「ACK API サーバー証明書 SAN のカスタマイズ」をご参照ください。

• ACK 専用クラスター：insecure-skip-tls-verify 設定を使用して、kubectl がこのエラーを無視するように設定します。

  重要

  この方法はクライアントによる API サーバー証明書の検証を妨げるため、本番環境での使用は推奨されません。 代わりに、「ACK 専用クラスターから ACK Pro クラスターへのホットマイグレーション」を実行し、新しい IP アドレスを API サーバーの証明書 SAN に追加することでこの問題を解決してください。

  • 方法1：kubectl コマンドの実行時に --insecure-skip-tls-verify パラメーターを指定します。

    kubectl -s https://<IP>:6443 --insecure-skip-tls-verify get ns

  • 方法2：kubeconfig ファイルを変更し、insecure-skip-tls-verify: true 設定を追加してから、certificate-authority-data 設定を削除します。

    apiVersion: v1
    clusters:
    - cluster:
        server: https://<IP>:6443
        insecure-skip-tls-verify: true
      name: kubernetes
    contexts:
    ...

ACK マネージドクラスター：クラスターのルート証明書キーを取得して、自分で kubeconfig 証明書を生成できますか？

ACK マネージドクラスターは、クラスターのルート証明書キーを外部に提供しません。 代わりに、コンソールまたは OpenAPI 経由でクラスターの kubeconfig を取得してください。