4. 控制平面初始化：helm init / helm repo add 命令背后的网络握手与认证流程

在 Helm v2 时代，helm init 是部署 Tiller 服务端并初始化本地环境的起点；而在 Helm v3 移除 Tiller 后，helm repo add 成为控制平面与 Chart 仓库建立信任关系的核心操作。本章深入剖析这两个命令背后的网络握手、证书交换与认证机制，帮助架构师理解控制平面初始化阶段的安全基线。

4.1 Helm v2 的 helm init：Tiller 部署与双向 TLS 握手

helm init 在 v2 中承担双重职责：在集群内创建 Tiller 服务端，并在本地初始化 Helm 客户端配置。其网络握手流程分为两个阶段：

4.1.1 阶段一：Tiller 部署到集群

Helm 客户端读取 ~/.kube/config 中的集群地址、CA 证书和客户端凭据，向 API Server 发送以下资源创建请求：

# helm init 实际构造的 Deployment 对象（简化）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: tiller-deploy
  namespace: kube-system
spec:
  replicas: 1
  template:
    spec:
      containers:
      - name: tiller
        image: gcr.io/kubernetes-helm/tiller:v2.17.0
        ports:
        - containerPort: 44134
        env:
        - name: TILLER_NAMESPACE
          value: kube-system
        - name: TILLER_HISTORY_MAX
          value: "10"

API Server 验证客户端证书后，将 Tiller 调度到工作节点。此时 Tiller 启动并生成自签名 CA 和服务器证书（除非用户提供外部证书）。

4.1.2 阶段二：gRPC 双向 TLS 握手

客户端执行 helm list 或 helm install 时，触发与 Tiller 的 gRPC 连接。完整的 mTLS 握手流程如下：

4.2 Helm v3 的 helm repo add：仓库索引获取与认证

Helm v3 移除了 Tiller，控制平面初始化简化为本地仓库配置。helm repo add 的核心任务是：验证仓库 URL 的可达性、获取 index.yaml 并缓存到本地。其网络握手流程如下：

4.2.1 仓库添加的 HTTP 握手步骤

1. DNS 解析： 客户端解析仓库域名（如 https://charts.bitnami.com/bitnami）为 IP 地址。
2. TLS 握手： 客户端验证仓库服务器的 HTTPS 证书（CA 签名、域名匹配、有效期）。
3. HTTP GET 请求： 客户端向 /index.yaml 路径发送 GET 请求，携带 User-Agent: Helm/x.y.z 头。
4. 服务器响应： 仓库返回 index.yaml（YAML 格式的 Chart 索引），包含所有 Chart 的版本、URL、校验和（SHA-256）。
5. 本地缓存： 客户端将 index.yaml 写入 ~/.cache/helm/repository/，后续 helm search 直接读取缓存。

4.2.2 认证方式对比

4.2.3 index.yaml 校验机制

Helm 客户端在下载 index.yaml 后，不会自动验证其完整性（因为仓库本身是可信源）。但 helm install 或 helm pull 时会校验 Chart 包的 SHA-256：

# index.yaml 中的条目示例
apiVersion: v1
entries:
  nginx:
  - name: nginx
    version: 13.2.0
    urls:
    - https://charts.bitnami.com/bitnami/nginx-13.2.0.tgz
    digest: sha256:7a3c3b3e8e5c5b5a5b5c5d5e5f5a5b5c5d5e5f5a5b5c5d5e5f5a5b5c5d5e5f

当用户执行 helm install nginx bitnami/nginx 时，客户端下载 Chart 包后计算 SHA-256，与 index.yaml 中的 digest 比对，防止下载被篡改的 Chart。

4.3 控制平面初始化安全最佳实践