у слёрма про всё это есть видосы
А чуть конкретнее? В целом-то да, рассказывают, что да как. Но вот чисто для примера, хоть кто-нибудь заморачивается, чтобы у etcd кластер был один набор сертов, подписанный одним CA, у куба свой kube-CA, а вот клиентский сертификат аписервера, с которым он ходит в etcd был подписан ещё одним, третьим CA?