kube-apiserver 配置参数解读（kubernets version 1.12.0）

小灰灰 2023-07-12 08:49 13阅读 0赞

## kube-apiserver 配置参数解读（kubernets version 1.12.0） ##

下面是kube-apiserver version 1.12.0的所有配置，其中高亮加粗的是我认为需要注意的Flag。

<table> 
 <tbody> 
 <tr> 
 <td>Flag</td> 
 <td>Comments</td> 
 </tr> 
 <tr> 
 <td>--admission-control-config-file</td> 
 <td> admission control的配置文件 </td> 
 </tr> 
 <tr> 
 <td>--advertise-address</td> 
 <td> 向集群成员发布apiserver的IP地址，该地址必须能够被集群的成员访问。 如果为空，则使用&nbsp;--bind-address，如果&nbsp;--bind-address未指定， 那么僵使用主机的默认接口。 </td> 
 </tr> 
 <tr> 
 <td>--allow-privileged</td> 
 <td>如果为true，允许特权模式的容器。默认值：false</td> 
 </tr> 
 <tr> 
 <td>--anonymous-auth</td> 
 <td> 允许匿名请求到API server的安全端口。未被其他身份验证方法拒绝的 请求将被视为匿名请求。匿名请求的system username：anonymous， system group name：unauthenticated。默认值：true </td> 
 </tr> 
 <tr> 
 <td>--apiserver-count</td> 
 <td> 集群中运行的apiserver的数量，必须为一个正数。默认值：1 在使用时--endpoint-reconciler-type=master-count时启用的 </td> 
 </tr> 
 <tr> 
 <td>--audit-log-batch-buffer-size</td> 
 <td> 批处理和写入之前的存储事件缓冲区的大小，只有批处理模式下使用。 默认值：10000 </td> 
 </tr> 
 <tr> 
 <td>--audit-log-batch-max-size</td> 
 <td>批次的最大尺寸。只有批处理模式下使用。默认值：1</td> 
 </tr> 
 <tr> 
 <td>--audit-log-batch-max-wait</td> 
 <td>强制写入未达到最大值的batch的等待时间。只有批处理模式下使用</td> 
 </tr> 
 <tr> 
 <td>--audit-log-batch-throttle-burst&nbsp;</td> 
 <td> 在ThrottleQPS没有使用之前同时发送请求的最大数量。 只有批处理模式下使用。 </td> 
 </tr> 
 <tr> 
 <td>--audit-log-batch-throttle-enable</td> 
 <td>是否启用batching throttling，只有批处理模式下使用。</td> 
 </tr> 
 <tr> 
 <td>--audit-log-batch-throttle-qps</td> 
 <td>每秒最大平均批次数，只有批处理模式下使用。</td> 
 </tr> 
 <tr> 
 <td>--audit-log-format</td> 
 <td> 保存审核的格式。"legacy" 表示每个事件为单行文本格式。 “json” 表示结构化的json格式。已知格式为legacy，json。默认值:json </td> 
 </tr> 
 <tr> 
 <td>--audit-log-maxage</td> 
 <td>根据文件名中的编码时间戳，保存审计日志文件的最大天数。</td> 
 </tr> 
 <tr> 
 <td>--audit-log-maxbackup</td> 
 <td>保存审计日志文件的最大数量。</td> 
 </tr> 
 <tr> 
 <td>--audit-log-maxsize</td> 
 <td>审计日志文件在流转之前的最大大小(以兆字节为单位)。</td> 
 </tr> 
 <tr> 
 <td>--audit-log-mode</td> 
 <td> 发送审计事件的策略。Blocking表示发送事件应阻塞服务器响应， Batch会在后端异步缓冲和写入事件。已知的模式为batch，blocking。 默认值：blocking </td> 
 </tr> 
 <tr> 
 <td>--audit-log-path</td> 
 <td> 如果设置，所有到apiserver的请求都会记录到这个文件中。‘-’表示 写入标准输出。 </td> 
 </tr> 
 <tr> 
 <td>--audit-log-truncate-enabled</td> 
 <td>是否启用事件和batch截断功能。</td> 
 </tr> 
 <tr> 
 <td>--audit-log-truncate-max-batch-size</td> 
 <td> 发送给底层后端的批处理最大大小。实际序列化的大小可以大几百 字节。如果一个批次超过这个限度，将被分为几个小批次。 默认值：10485760 </td> 
 </tr> 
 <tr> 
 <td>--audit-log-truncate-max-event-size</td> 
 <td> 发送给底层后端的审计事件的最大尺寸。如果单个事件的尺寸超过这个 值，第一个请求和回复会被删除，如果还没有减少到足够的大小， 事件将被丢弃。默认值：102400 </td> 
 </tr> 
 <tr> 
 <td>--audit-log-version</td> 
 <td> 用于序列化写入日志审计事件的API组合版本。 默认值：&nbsp;"audit.k8s.io/v1beta1" </td> 
 </tr> 
 <tr> 
 <td>--audit-policy-file</td> 
 <td>定义审计策略配置文件的路径</td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-batch-buffer-size</td> 
 <td> 批处理和写入之前的存储事件缓冲区的大小，只有批处理模式下使用。 默认值：10000 </td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-batch-max-size</td> 
 <td>批次的最大尺寸。只有批处理模式下使用。默认值：400</td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-batch-max-wait</td> 
 <td> 强制写入未达到最大值的batch的等待时间。只有批处理模式下使用 默认值：30s </td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-batch-throttle-burst</td> 
 <td> 在ThrottleQPS没有使用之前同时发送请求的最大数量。 只有批处理模式下使用。默认值：15 </td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-batch-throttle-enable</td> 
 <td>是否启用batching throttling，只有批处理模式下使用。默认值：true</td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-batch-throttle-qps</td> 
 <td>每秒最大平均批次数，只有批处理模式下使用。默认值：10</td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-config-file</td> 
 <td>定义审计webhook配置的一个kubeconfig格式的文件的路径</td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-initial-backoff</td> 
 <td>重试第一次失败请求的等待时间。默认值：10s</td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-mode</td> 
 <td> 发送审计事件的策略。Blocking表示发送事件应阻塞服务器响应， Batch会在后端异步缓冲和写入事件。已知的模式为batch，blocking。 默认值：blocking </td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-truncate-enabled</td> 
 <td>是否启用事件和batch截断功能。</td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-truncate-max-batch-size</td> 
 <td> 发送给底层后端的批处理最大大小。实际序列化的大小可以大几百 字节。如果一个批次超过这个限度，将被分为几个小批次。 默认值：10485760 </td> 
 </tr> 
 <tr> 
 <td>--audit-webhook-truncate-max-event-size</td> 
 <td> 发送给底层后端的审计事件的最大尺寸。如果单个事件的尺寸超过这个 值，第一个请求和回复会被删除，如果还没有减少到足够的大小， 事件将被丢弃。默认值：102400 </td> 
 </tr> 
 <tr> 
 <td> --audit-webhook-version </td> 
 <td> 用于序列化写入日志审计事件的API组合版本。 默认值：&nbsp;"audit.k8s.io/v1beta1" </td> 
 </tr> 
 <tr> 
 <td>--authentication-token-webhook-cache-ttl</td> 
 <td>从webhook token验证器缓存响应的持续时间，默认值：2m0s</td> 
 </tr> 
 <tr> 
 <td>--authentication-token-webhook-config-file</td> 
 <td> 用于token身份验证的kubeconfig格式的webhook配置文件， API server将会查询远程服务器，以确定承载token的身份验证 </td> 
 </tr> 
 <tr> 
 <td>--authorization-mode</td> 
 <td> 在安全端口上执行授权的有序的插件列表。默认值：AlwaysAllow 以逗号分隔的列表： AlwaysAllow,AlwaysDeny,ABAC,Webhook,RBAC,Node. </td> 
 </tr> 
 <tr> 
 <td>--authorization-policy-file</td> 
 <td>csv格式的授权策略文件。与&nbsp;--authorization-mode=ABAC一起使用</td> 
 </tr> 
 <tr> 
 <td>--authorization-webhook-cache-authorized-ttl</td> 
 <td>缓存webhook授权器已授权响应的持续时间。默认值：5m0s</td> 
 </tr> 
 <tr> 
 <td>--authorization-webhook-cache-unauthorized-ttl</td> 
 <td>缓存webhook授权器未授权响应的持续时间。默认值：30s</td> 
 </tr> 
 <tr> 
 <td>--authorization-webhook-config-file</td> 
 <td> kubeconfig格式的webhook配置文件， 和--authorization-mode=Webhook一起使用。 API server将查询远程服务，以确定对API server安全端口的访问。 </td> 
 </tr> 
 <tr> 
 <td>-azure-container-registry-config</td> 
 <td>包含Azure容器注册表配置信息的文件的路径。</td> 
 </tr> 
 <tr> 
 <td>--basic-auth-file</td> 
 <td> 如果设置，该文件用于通过http基本身份验证向API服务器的 安全端口接收请求的文件。 </td> 
 </tr> 
 <tr> 
 <td>--bind-address</td> 
 <td> 监听安全端口的IP地址。关联的接口必须能被集群的其他部分 以及CLI/web客户机访问。 </td> 
 </tr> 
 <tr> 
 <td>--cert-dir</td> 
 <td> TLS证书所在的目录。如果提供了--tls-cert-file 和 --tls-private-key-file，该参数会被忽略。 默认值："/var/run/kubernetes" </td> 
 </tr> 
 <tr> 
 <td>--client-ca-file</td> 
 <td> 如果设置，任何提交的客户ca文件中由某个权威机构签名的客户机 证书的请求都使用与客户机证书的公共名称相对应的身份进行身份 验证。 </td> 
 </tr> 
 <tr> 
 <td>--cloud-config</td> 
 <td>Cloud provider配置文件的路径，如果为空表示没有配置文件。</td> 
 </tr> 
 <tr> 
 <td>--cloud-provider</td> 
 <td>云服务提供商，控表示没有提供商。</td> 
 </tr> 
 <tr> 
 <td>--contention-profiling</td> 
 <td>如果启用了profiling，则启用锁争用profiling</td> 
 </tr> 
 <tr> 
 <td>--cors-allowed-origins</td> 
 <td> 以逗号分隔的允许CORS起源的列表。允许的起源可以是支持 子域匹配的正则表达式。如果该列表为空，表示启用CORS。 </td> 
 </tr> 
 <tr> 
 <td>--default-watch-cache-size</td> 
 <td> 默认的watch缓存大小。如果是0，对于没有默认watch大小设置 的资源将不启用资源watch缓存。默认值：100 </td> 
 </tr> 
 <tr> 
 <td>--delete-collection-workers</td> 
 <td> 为取消collection call而产生的worker数。用于加速namespace 清理。默认值：1 </td> 
 </tr> 
 <tr> 
 <td>--deserialization-cache-size</td> 
 <td>在内存中缓存反序列化json对象的数量。</td> 
 </tr> 
 <tr> 
 <td>--disable-admission-plugins</td> 
 <td>应该禁用的admission插件，尽管它们在默认的启用插件列表。</td> 
 </tr> 
 <tr> 
 <td>--enable-admission-plugins</td> 
 <td>除了默认启用的插件，还应该额外启动的admission插件</td> 
 </tr> 
 <tr> 
 <td>--enable-aggregator-routing</td> 
 <td>打开aggregator路由请求到endpoints IP，而不是集群IP。</td> 
 </tr> 
 <tr> 
 <td>--enable-bootstrap-token-auth</td> 
 <td> 启用允许‘kube-system' namespace中的secrets类型的 'bootstrap.kubernetes.io/token'用于TLS引导身份验证。 </td> 
 </tr> 
 <tr> 
 <td>--enable-garbage-collector&nbsp;</td> 
 <td> 启用通用的垃圾收集器。必须与kube-controller-manager 相应参数同步一致。默认值：true </td> 
 </tr> 
 <tr> 
 <td>--enable-logs-handler</td> 
 <td>如果true，安装一个logs handler给apiserver日志</td> 
 </tr> 
 <tr> 
 <td>--enable-swagger-ui</td> 
 <td>在服务器上启用swagger ui</td> 
 </tr> 
 <tr> 
 <td>--endpoint-reconciler-type</td> 
 <td>使用endpoint协调器（master-count，lease(默认值)，none）</td> 
 </tr> 
 <tr> 
 <td>--etcd-cafile</td> 
 <td>用于保护etcd通信的SSL证书权威文件。</td> 
 </tr> 
 <tr> 
 <td>--etcd-certfile</td> 
 <td>用于保护etcd通信的SSL证书文件。</td> 
 </tr> 
 <tr> 
 <td>--etcd-compaction-interval</td> 
 <td> 压缩请求的时间。如果为0，来自apiserver的压缩请求被禁用了。 默认值：5m0s </td> 
 </tr> 
 <tr> 
 <td>--etcd-count-metric-poll-period</td> 
 <td> 为每种类型的资源数量轮询etcd的频率。0表示禁用收集metric。 默认值：1m0s </td> 
 </tr> 
 <tr> 
 <td>--etcd-keyfile</td> 
 <td>用来保护etcd通信的SSL key文件</td> 
 </tr> 
 <tr> 
 <td>--etcd-prefix</td> 
 <td>etcd中所有资源路径的前缀。默认值："/registry"</td> 
 </tr> 
 <tr> 
 <td>--etcd-servers</td> 
 <td>连接的etcd服务器列表（格式：//ip:port），以逗号分隔</td> 
 </tr> 
 <tr> 
 <td>--etcd-servers-overrides</td> 
 <td>以逗号分隔的，每个资源的etcd服务器覆盖。</td> 
 </tr> 
 <tr> 
 <td>--event-ttl</td> 
 <td>保留时间的时间。默认值：1h0m0s</td> 
 </tr> 
 <tr> 
 <td>--experimental-encryption-provider-config</td> 
 <td>包含用于在etcd中存储secrets的加密提供程序的配置文件</td> 
 </tr> 
 <tr> 
 <td>--external-hostname</td> 
 <td>为master生成外部url时使用的hostname</td> 
 </tr> 
 <tr> 
 <td>--feature-gates</td> 
 <td>用于描述alpha/实验特性的功能的一组键值对。</td> 
 </tr> 
 <tr> 
 <td>--http2-max-streams-per-connection</td> 
 <td> 服务器对HTTP/2连接中流的最大数量的限制， 0表示使用golang的默认值。 </td> 
 </tr> 
 <tr> 
 <td>--kubelet-certificate-authority</td> 
 <td>用于证书认证的证书文件路径</td> 
 </tr> 
 <tr> 
 <td>--kubelet-client-certificate</td> 
 <td>用于TLS的客户端证书文件路径</td> 
 </tr> 
 <tr> 
 <td>--kubelet-client-key</td> 
 <td>用于TLS的客户端私钥文件路径</td> 
 </tr> 
 <tr> 
 <td>--kubelet-https</td> 
 <td>kubelet通信使用https，默认值：true</td> 
 </tr> 
 <tr> 
 <td>--kubelet-preferred-address-types</td> 
 <td> 为kubelet通信使用的首选NodeAddress 类型列表。默认值： [Hostname,InternalDNS,InternalIP,ExternalDNS,ExternalIP] </td> 
 </tr> 
 <tr> 
 <td>--kubelet-read-only-port</td> 
 <td>不建议配置，kubelet只读端口。默认值：10255</td> 
 </tr> 
 <tr> 
 <td>--kubelet-timeout</td> 
 <td> kubelet操作的超时时间，默认值：5s </td> 
 </tr> 
 <tr> 
 <td>--kubernetes-service-node-port</td> 
 <td> 如果不是0，则Kubernetes master服务将是NodePort类型。 使用它作为端口的值。如果为0，Kubernetes master服务将 是ClusterIP类型。 </td> 
 </tr> 
 <tr> 
 <td>--log-flush-frequency</td> 
 <td>日志刷新之间的最大间隔。默认值：5s</td> 
 </tr> 
 <tr> 
 <td>--master-service-namespace</td> 
 <td>不建议配置，应该注入pod的Kubernetes master服务的命名空间</td> 
 </tr> 
 <tr> 
 <td>--max-connection-bytes-per-sec</td> 
 <td> 如果不为0，每个用户连接限制为这个数值的字节/秒数。 目前只适用于长时间运行的请求。 </td> 
 </tr> 
 <tr> 
 <td>-max-mutating-requests-inflight</td> 
 <td> 在给定时间内飞行中的最大变异请求数。当服务器超过此限制， 将会拒绝请求。零表示没有限制。默认值：200 </td> 
 </tr> 
 <tr> 
 <td>--max-requests-inflight</td> 
 <td> 在给定时间内飞行中的最大非变异请求数。当服务器超过此限制， 将会拒绝请求。零表示没有限制。默认值：400 </td> 
 </tr> 
 <tr> 
 <td>--min-request-timeout</td> 
 <td> 一个可选字段，指示处理程序在发出请求之前必须保持请求打开 打开的最短时间。目前，只有watch请求处理程序(它选择这个数 字以上的一个随机值作为连接超时)才会分配负载。默认值：1800 </td> 
 </tr> 
 <tr> 
 <td>--oidc-ca-file&nbsp;</td> 
 <td> 如果设置，OpenID服务的证书将由oidc-ca-file中的一个权威 机构进行验证，否则将使用主机的根证书集。 </td> 
 </tr> 
 <tr> 
 <td>--oidc-client-id</td> 
 <td> OpenID连接客户的客户ID。如果oidc-issuer-url设置了， 则该参数也必须设置。 </td> 
 </tr> 
 <tr> 
 <td>--oidc-groups-claim</td> 
 <td> 如果提供，用于指定用户组的自定义OpenID 连接声明的名称。 该声明值应该是字符串或者字符串数组。实验性参数 </td> 
 </tr> 
 <tr> 
 <td>--oidc-groups-prefix</td> 
 <td> 如果提供，所有组都将一个该值作为前缀，以防止于其他身份 验证策略冲突。 </td> 
 </tr> 
 <tr> 
 <td>--oidc-issuer-url&nbsp;</td> 
 <td> OpenID发布者的URL，只接受HTTPS。如果设置，将用于验证 OIDC JSON Web Token。 </td> 
 </tr> 
 <tr> 
 <td>-oidc-required-claim&nbsp;</td> 
 <td> 一组描述ID Token中所需的声明的键值对。如果设置，该声明 将被验证为ID Token中存在的匹配值。重复此参数以指定多个 </td> 
 </tr> 
 <tr> 
 <td>--oidc-signing-algs</td> 
 <td> 以逗号分隔的允许JOSE非对称签名算法的列表。如果以”alg” 开头的JWTs不在此列表中，则会被拒纳。默认值：RS256 </td> 
 </tr> 
 <tr> 
 <td>--oidc-username-claim&nbsp;</td> 
 <td> 用作user name的OpenID声明。注意，除了默认声明('sub')之外 的声明不能保证是唯一的和不可变的。默认值：’sub‘ </td> 
 </tr> 
 <tr> 
 <td>--oidc-username-prefix&nbsp;</td> 
 <td> 如果提供，所有的username将以该值作为前缀，如果不提供， 除了’email‘之外，username声明以发布者URL作前缀，以 避免冲突。若要跳过任何前缀，请设置值为’-‘。 </td> 
 </tr> 
 <tr> 
 <td>--profiling</td> 
 <td>通过web接口host:port/debug/pprof/启用profiling，默认值 true</td> 
 </tr> 
 <tr> 
 <td>--proxy-client-cert-file</td> 
 <td> 用于证明aggregator或kube-apiserver在请求期间发出呼叫的身份 的客户端证书。 </td> 
 </tr> 
 <tr> 
 <td>--proxy-client-key-file</td> 
 <td> 用于证明聚合器或kube-apiserver的身份的客户端证书的私钥， 当它必须在请求期间调用时使用。包括将请求代理给用户 api-server和调用webhook admission插件 </td> 
 </tr> 
 <tr> 
 <td>-request-timeout</td> 
 <td> 一个可选字段，指示处理程序必须在发出请求前保持打开状态 的时间。这是默认请求超时，但可能被其他参数覆盖，例如： 特殊类型请求的--min-request-timeou </td> 
 </tr> 
 <tr> 
 <td>--requestheader-allowed-names</td> 
 <td> 客户端证书常用名称列表，允许在--requestheader-username- headers指定的标头中提供用户名，如果为空，则允许在 --requestheader-client-ca文件中通过当局验证的任何 客户端证书。 </td> 
 </tr> 
 <tr> 
 <td>--requestheader-client-ca-file</td> 
 <td> 根证书绑定包用于在信任--requestheader-username-headers 指定的标头中的用户名前，在传入请求上验证客户证书。 </td> 
 </tr> 
 <tr> 
 <td>-requestheader-extra-headers-prefix</td> 
 <td>要检查的请求标头前缀列表</td> 
 </tr> 
 <tr> 
 <td>--requestheader-group-headers</td> 
 <td>要检查组的请求标头列表</td> 
 </tr> 
 <tr> 
 <td>--requestheader-username-headers</td> 
 <td>要检查用户名的请求标头列表</td> 
 </tr> 
 <tr> 
 <td>--runtime-config</td> 
 <td> 一组键值对，描述可能传递给apiserver的runtime配置。 &lt;group&gt;/&lt;version&gt; 键可以用于打开、关闭指定的api版本。 &nbsp; </td> 
 </tr> 
 <tr> 
 <td>--secure-port</td> 
 <td> 为带有身份验证和授权的HTTPS提供服务的端口。 不能设置0关闭它。默认值：6443 </td> 
 </tr> 
 <tr> 
 <td>--service-account-api-audiences</td> 
 <td> API的标识符。Service account token验证器将验证针对 至少绑定这些受众之一的API使用的令牌 </td> 
 </tr> 
 <tr> 
 <td>--service-account-issuer&nbsp;</td> 
 <td> Service account token发行者的标识符。发布者将在“iss”声明 中断言该标识符。该值是一个字符串或者URL </td> 
 </tr> 
 <tr> 
 <td>--service-account-key-file</td> 
 <td> 包含PEM编码的x509&nbsp;RSA或ECDSA私有或者公共密钥的文件。 用于验证service account token。指定的文件可以包含多个值。 该参数可以被指定多个不同的文件。如果没有指定， --tls-private-key-file将被使用。如果提供了 &nbsp;--service-account-signing-key，则必须指定该参数。 </td> 
 </tr> 
 <tr> 
 <td>--service-account-lookup</td> 
 <td> 如果为true，作为身份验证的一部分，验证service account&nbsp; token是否存在于etcd中。默认值：true </td> 
 </tr> 
 <tr> 
 <td>--service-account-max-token-expiration</td> 
 <td>由service account token签发人创建的token的最大有效期</td> 
 </tr> 
 <tr> 
 <td>--service-account-signing-key-file</td> 
 <td> 指向包含service account token签发方当前私钥文件的路径。 签发方将用这个私钥签署已发行的ID token。 需要设置'TokenRequest' feature gate </td> 
 </tr> 
 <tr> 
 <td>--service-cluster-ip-range</td> 
 <td> CIDR IP范围，用于分配service 集群IP。不能与分配给节点pod 的任何IP范围重叠。默认值：10.0.0.0/24 </td> 
 </tr> 
 <tr> 
 <td>--service-node-port-range</td> 
 <td> 为NodePort可视性服务保留的端口范围。默认值: 30000-32767 </td> 
 </tr> 
 <tr> 
 <td>--storage-backend</td> 
 <td>持久性存储后端。可选值：'etcd3' (默认), 'etcd2'.</td> 
 </tr> 
 <tr> 
 <td>--storage-media-type</td> 
 <td> 用于在存储器中存储对象的媒体类型。部分资源或存储后端 可能只支持特定的媒体类型，并将忽略该设置。默认值： "application/vnd.kubernetes.protobuf" </td> 
 </tr> 
 <tr> 
 <td>--target-ram-mb</td> 
 <td>apiserver的内存限制（单位为MB）</td> 
 </tr> 
 <tr> 
 <td>--tls-cert-file</td> 
 <td> 包含HTTPS的默认x509证书的文件。如果启用HTTPS服务， 切没有提供--tls-cert-file和--tls-private-key-file， 则为公共地址生成自签名证书和密钥，并保存到--cert-dir 指定的目录中。 </td> 
 </tr> 
 <tr> 
 <td>--tls-cipher-suites&nbsp;</td> 
 <td> 以逗号分隔的服务器密码套件列表。如果省略，将使用默认的 Go密码套件。 </td> 
 </tr> 
 <tr> 
 <td>--tls-min-version</td> 
 <td> 支持的最低的TLS版本。可选值：VersionTLS10, VersionTLS11, VersionTLS12 </td> 
 </tr> 
 <tr> 
 <td>--tls-private-key-file</td> 
 <td>包含和--tls-cert-file配对的默认x509私钥的文件</td> 
 </tr> 
 <tr> 
 <td>--tls-sni-cert-key</td> 
 <td> 一对x509证书和私钥文件路径，可选地以一列完全限定域名的 域模式作为后缀，可能带有前缀通配符段。默认值：[] </td> 
 </tr> 
 <tr> 
 <td>--token-auth-file</td> 
 <td> 如果设置，将使用该文件通过token身份验证来保护API服务器的 安全端口。 </td> 
 </tr> 
 <tr> 
 <td>--watch-cache&nbsp;</td> 
 <td>在apiserver中启用watch缓存</td> 
 </tr> 
 <tr> 
 <td>--watch-cache-sizes</td> 
 <td>每种资源的watch缓存尺寸列表。</td> 
 </tr> 
 </tbody> 
</table>