Container Service for Kubernetes:kubeconfig の取得および kubectl を使用したクラスターへの接続

ステップ 1: kubectl クライアントのインストールと構成

kubectl をインストールするクライアントマシンを特定します。その後、お使いのオペレーティングシステムおよびクラスターバージョンに応じて、kubectl のインストールを行います。

ステップ 2: kubeconfig ファイルの取得および使用

kubeconfig 証明書に関連付けられた ID 情報を確認するにはどうすればよいですか？

grep client-certificate-data kubeconfig |awk '{print $2}' |base64 -d | openssl x509 -noout -text |grep Subject:

        Subject: O=system:users, OU=, CN=1***-1673419473

kubeconfig 証明書の有効期限を確認するにはどうすればよいですか？

grep client-certificate-data kubeconfig |awk '{print $2}' |base64 -d | openssl x509 -noout -enddate

notAfter=Jan 10 06:44:34 2026 GMT

証明書の有効期限が切れる 180 日前、または有効期限が切れた後であればいつでも、コンソールまたは API 操作を呼び出して新しい kubeconfig を取得できます。

クライアント証明書、クライアント秘密鍵、および API サーバー情報を取得するにはどうすればよいですか？

以下のコマンドを使用して、kubeconfig ファイルからクライアント証明書、クライアント秘密鍵、および API サーバー情報を抽出します:

cat  ./kubeconfig |grep client-certificate-data | awk -F ' ' '{print $2}' |base64 -d > ./client-cert.pem
cat  ./kubeconfig |grep client-key-data | awk -F ' ' '{print $2}' |base64 -d > ./client-key.pem
APISERVER=`cat  ./kubeconfig |grep server | awk -F ' ' '{print $2}'`

kubeconfig のパスは必要に応じて変更してください。デフォルトでは、kubectl は $HOME/.kube/config を使用してクラスターに接続します。また、KUBECONFIG 環境変数または --kubeconfig

「certificate is valid for」エラーを解決するには、kubectl を使用してクラスターに接続する際にどうすればよいですか？

クラスターの API サーバー向け Server Load Balancer (SLB) インスタンスに新しい IP アドレスをバインドした場合、新しい IP を対象とした kubectl コマンドが失敗し、「Error while proxying request: x509: certificate is valid for xxx」または「Unable to connect to the server: x509: certificate is valid for xxx」というエラーが発生することがあります。

• ACK マネージドクラスター: API サーバー証明書のサブジェクト代替名 (SAN) に新しい IP アドレスを追加します。詳細については、「ACK クラスター作成時に API サーバー証明書の SAN をカスタマイズ」をご参照ください。

• ACK 専用クラスター: kubectl がこのエラーを無視するように、insecure-skip-tls-verify オプションを設定します。

  重要

  TLS 検証のバイパスはセキュリティリスクを伴うため、本番環境では推奨されません。代わりに、ACK 専用クラスターを ACK マネージドクラスター Pro エディションへホットマイグレーションすることを強く推奨します。その後、API サーバー証明書の SAN に新しい IP アドレスを追加してください。

  • 方法 1: kubectl コマンド実行時に --insecure-skip-tls-verify オプションを指定します。

    kubectl -s https://<IP>:6443 --insecure-skip-tls-verify get ns

  • 方法 2: kubeconfig ファイルを編集し、insecure-skip-tls-verify: true を設定して、certificate-authority-data の設定を削除します。

    apiVersion: v1
    clusters:
    - cluster:
        server: https://<IP>:6443
        insecure-skip-tls-verify: true
      name: kubernetes
    contexts:
    ...

ACK マネージドクラスターkubeconfig 証明書を自ら生成するために、ルート証明書キーを取得できますか？

ACK マネージドクラスター では、ルート証明書キーは公開されていません。クラスターの kubeconfig は、コンソールまたは OpenAPI 操作を呼び出すことで取得することを推奨します。