Зачем тебе это

но кажется, что авторы куба больные ублюдки

Так, я кажись понял.
Кубелеты генерят сертификаты используя свои собственные CA, так как при джойне ноды apiserver в принципе не может гарантировать, что нода, которая джойнится, это та самая нода, а не какой-то левак с тем же именем и токеном доступа к кластеру.

По сути kubeadm-токен может гарантировать ноде что она джойнится к нужному api-server'у, но никак не наоборот.

В связи с этим был придуман механизм csr, т.е. каждому кубелету достаточно добавить в конфиг

serverTLSBootstrap: true

и после джойна в кластер он непременно запросит новый сертификат.

kubectl get csr

- отобразить все запросы

kubectl certificate approve <some-request>

- заапрувить

после аппрува, кубелет получает свой собственный сертификат подписанный CA apiserver'а

- как именно apiserver верифицирует подключение к конкретному кубелету, если опция serverTLSBootstrap выключена, по дефолту kubeadm деплоит именно так.

*я знаю что нынче кубелетам положено использовать тип аутентификации Node, но как apisever может быть уверен что это тот самый кубелет запросил соединение?*

Потому что ты не можешь вджойнить ноду без токена

Легко Георгий. Точее сгенерировать для нее сертификат и заменить его в ноде. Завтра пришлю как

я не Георгий

Жорик