第11章 TLS 証明書の管理

手順

1. CA 証明書を対応する Secret に配置します。

   1. 既存のシークレットを削除します。

      oc delete secret CA-CERTIFICATE-SECRET

      CA-CERTIFICATE-SECRETはSecretの名前で、クラスタCA証明書の場合はCLUSTER-NAME-cluster-ca-certであり、クライアントCA証明書の場合はCLUSTER-NAME-clients-ca-certとなります。

      「Not Exists」エラーを無視します。

   2. 新規シークレットを作成およびラベル付けします。

      oc create secret generic CA-CERTIFICATE-SECRET --from-file=ca.crt=CA-CERTIFICATE-FILENAME

2. CA キーを対応する Secret に配置します。

   1. 既存のシークレットを削除します。

      oc delete secret CA-KEY-SECRET

      CA-KEY-SECRET は CA キーの名前です。これは、クラスター CA キーの場合は CLUSTER-NAME-cluster-ca、クライアント CA キーの場合は CLUSTER-NAME-clients-ca です。

   2. 新規シークレットを作成します。

      oc create secret generic CA-KEY-SECRET --from-file=ca.key=CA-KEY-SECRET-FILENAME

3. シークレットに strimzi.io/kind=Kafka および strimzi.io/cluster=CLUSTER-NAME ラベルを付けます。

   oc label secret CA-CERTIFICATE-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME
   oc label secret CA-KEY-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME

4. クラスターの Kafka リソースを作成し、生成された CA を使用 しない ように Kafka.spec.clusterCa または Kafka.spec.clientsCa オブジェクトを設定します。

   独自指定の証明書を使用するようにクラスター CA を設定する Kafka リソースの例 (抜粋)

   kind: Kafka
   version: kafka.strimzi.io/v1beta2
   spec:
     # ...
     clusterCa:
       generateCertificateAuthority: false