4.6. etcd 証明書

etcd 証明書は etcd-signer によって署名されます。それらの証明書はブートストラッププロセスで生成される認証局 (CA) から提供されます。

CA 証明書は 10 年間有効です。ピア、クライアント、およびサーバーの証明書は 3 年間有効です。

これらの証明書はシステムによってのみ管理され、自動的にローテーションされます。

etcd 証明書は、etcd メンバーのピア間の暗号化された通信と暗号化されたクライアントトラフィックに使用されます。以下の証明書は etcd および etcd と通信する他のプロセスによって生成され、使用されます。

ピア証明書: etcd メンバー間の通信に使用されます。
クライアント証明書: 暗号化されたサーバーとクライアント間の通信に使用されます。現時点で、クライアント証明書は API サーバーによってのみ使用され、プロキシーを除いてその他のサービスは etcd に直接接続されません。クライアントシークレット (etcd-client、etcd-metric-client、etcd-metric-signer、および etcd-signer) は openshift-config、openshift-monitoring、および openshift-kube-apiserver namespace に追加されます。
サーバー証明書: クライアント要求を認証するために etcd サーバーによって使用されます。
メトリック証明書: メトリックのすべてのコンシューマーは metric-client 証明書を使用してプロキシーに接続します。