ClusterTrustBundle

ClusterTrustBundle — контейнер уровня кластера для якорей доверия X.509 (корневых сертификатов).

Объекты ClusterTrustBundle считаются доступными для чтения любому аутентифицированному пользователю кластера, поскольку они могут подключаться к подам с помощью проекции clusterTrustBundle. По умолчанию все учетные записи служб имеют доступ на чтение ClusterTrustBundle. Пользователи, имеющие доступ к кластеру только на уровне пространства имен, могут читать ClusterTrustBundle, выдавая себя за доступную им учетную запись службы.

Его можно связать с определенным подписантом; в этом случае он содержит один допустимый набор якорей доверия для этого подписанта. С одним подписантом может быть связано несколько объектов ClusterTrustBundle; каждый из них представляет собой независимый набор якорей доверия для этого подписанта. Для обеспечения того, чтобы создавать или изменять соответствующий пакет могли только пользователи с разрешениями для подписанта, используется контроль допуска.

apiVersion: certificates.k8s.io/v1beta1

import "k8s.io/api/certificates/v1beta1"

ClusterTrustBundle

ClusterTrustBundle — контейнер уровня кластера для якорей доверия X.509 (корневых сертификатов).

Поле	Описание
`apiVersion` string	APIVersion определяет версионируемую схему этого представления объекта. Серверы должны преобразовывать распознанные схемы в последнее внутреннее представление и могут отклонять нераспознанные значения. Подробнее: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`kind` string	Kind — строковое значение, представляющее ресурс REST, который представляет этот объект. Серверы могут определить его по конечной точке, на которую клиент отправляет запросы. Не может быть обновлено. В формате CamelCase. Подробнее: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata` ObjectMeta	metadata содержит метаданные объекта.
`spec` * ClusterTrustBundleSpec	spec содержит сведения о подписанте (если он есть) и якорях доверия.

ClusterTrustBundleSpec

ClusterTrustBundleSpec содержит сведения о подписанте и якорях доверия.

Поле Описание

signerName
string signerName указывает связанного подписанта, если он есть. Чтобы создать или обновить ClusterTrustBundle, в котором задан signerName, необходимо иметь следующие разрешения уровня кластера: group=certificates.k8s.io resource=signers resourceName=\ verb=attest. Если signerName не пуст, имя объекта ClusterTrustBundle должно начинаться с имени подписанта (символы косой черты заменяются двоеточиями). Например, для имени подписанта `example.com/foo` допустимыми именами объектов ClusterTrustBundle будут `example.com:foo:abc` и `example.com:foo:v1`. Если signerName пуст, имя объекта ClusterTrustBundle не должно иметь такой префикс. Запросы list/watch для ClusterTrustBundle могут фильтроваться по этому полю с помощью селектора полей `spec.signerName=NAME`.

trustBundle *
string trustBundle содержит отдельные якоря доверия X.509 для этого пакета в виде пакета PEM, состоящего из сертификатов X.509 в формате DER, обернутых в PEM. Данные должны содержать только блоки сертификатов PEM, разбираемые как допустимые сертификаты X.509. Каждый сертификат должен включать расширение базовых ограничений с установленным битом CA. Сервер API отклонит объекты, содержащие повторяющиеся сертификаты или заголовки блоков PEM. Пользователи ClusterTrustBundle, включая Kubelet, могут менять порядок блоков сертификатов и удалять дубликаты в этом файле согласно собственной логике, а также удалять заголовки блоков PEM и данные между блоками.

Поле	Описание
`signerName` string	signerName указывает связанного подписанта, если он есть. Чтобы создать или обновить ClusterTrustBundle, в котором задан signerName, необходимо иметь следующие разрешения уровня кластера: group=certificates.k8s.io resource=signers resourceName=\ verb=attest. Если signerName не пуст, имя объекта ClusterTrustBundle должно начинаться с имени подписанта (символы косой черты заменяются двоеточиями). Например, для имени подписанта `example.com/foo` допустимыми именами объектов ClusterTrustBundle будут `example.com:foo:abc` и `example.com:foo:v1`. Если signerName пуст, имя объекта ClusterTrustBundle не должно иметь такой префикс. Запросы list/watch для ClusterTrustBundle могут фильтроваться по этому полю с помощью селектора полей `spec.signerName=NAME`.
`trustBundle` * string	trustBundle содержит отдельные якоря доверия X.509 для этого пакета в виде пакета PEM, состоящего из сертификатов X.509 в формате DER, обернутых в PEM. Данные должны содержать только блоки сертификатов PEM, разбираемые как допустимые сертификаты X.509. Каждый сертификат должен включать расширение базовых ограничений с установленным битом CA. Сервер API отклонит объекты, содержащие повторяющиеся сертификаты или заголовки блоков PEM. Пользователи ClusterTrustBundle, включая Kubelet, могут менять порядок блоков сертификатов и удалять дубликаты в этом файле согласно собственной логике, а также удалять заголовки блоков PEM и данные между блоками.

ClusterTrustBundleList

ClusterTrustBundleList — коллекция объектов ClusterTrustBundle

Поле	Описание
`apiVersion` string	APIVersion определяет версионируемую схему этого представления объекта. Серверы должны преобразовывать распознанные схемы в последнее внутреннее представление и могут отклонять нераспознанные значения. Подробнее: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`items` * Массив ClusterTrustBundle	items — коллекция объектов ClusterTrustBundle
`kind` string	Kind — строковое значение, представляющее ресурс REST, который представляет этот объект. Серверы могут определить его по конечной точке, на которую клиент отправляет запросы. Не может быть обновлено. В формате CamelCase. Подробнее: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata` ListMeta	metadata содержит метаданные списка.

© 2026 The Kubernetes Authors | Documentation Distributed under CC BY 4.0
Copyright © 2026 The Linux Foundation ®. All rights reserved.
https://kubernetes.io/docs/reference/kubernetes-api/certificates/cluster-trust-bundle-v1beta1/