Объекты CertificateSigningRequest предоставляют механизм получения сертификатов x509 путем отправки запроса на подпись сертификата с последующим его асинхронным утверждением и выпуском.
Kubelet используют этот API для получения:
клиентских сертификатов для аутентификации в kube-apiserver (с signerName "kubernetes.io/kube-apiserver-client-kubelet").
сертификатов для конечных точек TLS, к которым kube-apiserver может безопасно подключаться (с signerName "kubernetes.io/kubelet-serving").
Этот API можно использовать для запроса клиентских сертификатов для аутентификации в kube-apiserver (с signerName "kubernetes.io/kube-apiserver-client") или для получения сертификатов от пользовательских подписантов, не относящихся к Kubernetes.
ClusterTrustBundle — это контейнер в масштабе кластера для доверенных корней X.509 (корневых сертификатов).
Объекты ClusterTrustBundle доступны для чтения любому прошедшему аутентификацию пользователю кластера, поскольку их можно монтировать в поды с помощью проекции clusterTrustBundle. Все сервисные аккаунты по умолчанию имеют доступ на чтение к ClusterTrustBundles. Пользователи, имеющие доступ к кластеру только на уровне пространства имен, могут читать ClusterTrustBundles, действуя от имени доступного им сервисного аккаунта.
Его можно связать с конкретным назначающим субъектом; в этом случае он содержит один допустимый набор доверенных корней для этого подписанта. У подписантов может быть несколько связанных ClusterTrustBundles; каждый из них представляет собой независимый набор доверенных корней для этого подписанта. Для обеспечения того, чтобы соответствующий пакет могли создавать или изменять только пользователи с разрешениями для этого подписанта, используется контроль допуска.
