第11章 TLS 証明書の管理

手順

1. Cluster Operator によって生成される CA 証明書を置き換えます。

   1. 既存のシークレットを削除します。

      oc delete secret CA-CERTIFICATE-SECRET

      Copy to Clipboard Toggle word wrap

      CA-CERTIFICATE-SECRETは，Secret の名称です。

      • CLUSTER-NAME-cluster-ca-cert: クラスタCA証明書
      • CLUSTER-NAME-clients-ca-cert: クライアントのCA証明書

      CLUSTER-NAME は、Kafka クラスターの名前に置き換えます。

      「Not Exists」エラーを無視します。

   2. 新規シークレットを作成します。

      PEM 形式の証明書を使用したクライアントシークレットの作成

      oc create secret generic CLUSTER-NAME-clients-ca-cert --from-file=ca.crt=ca.crt

      Copy to Clipboard Toggle word wrap

      PEM および PKCS #12 形式の証明書を使用したクラスターシークレットの作成

      oc create secret generic CLUSTER-NAME-cluster-ca-cert \
        --from-file=ca.crt=ca.crt \
        --from-file=ca.p12=ca.p12 \
        --from-literal=ca.password=P12-PASSWORD

      Copy to Clipboard Toggle word wrap

2. Cluster Operator によって生成される秘密鍵を置き換えます。

   1. 既存のシークレットを削除します。

      oc delete secret CA-KEY-SECRET

      Copy to Clipboard Toggle word wrap

      CA-KEY-SECRET は CA キーの名前です。

      • CLUSTER-NAME-cluster-ca（クラスタCAキー）
      • CLUSTER-NAME-clients-ca（クラスタCAキー）

   2. 新規シークレットを作成します。

      oc create secret generic CA-KEY-SECRET --from-file=ca.key=ca.key

      Copy to Clipboard Toggle word wrap

3. シークレットにラベルを付けます。

   oc label secret CA-CERTIFICATE-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME

   Copy to Clipboard Toggle word wrap

   oc label secret CA-KEY-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME

   Copy to Clipboard Toggle word wrap
   • ラベル strimzi.io/kind=Kafka は Kafka カスタムリソースを識別します。
   • ラベル strimzi.io/cluster=CLUSTER-NAME は Kafka クラスターを識別します。

4. シークレットにアノテーションを付けます。

   oc annotate secret CA-CERTIFICATE-SECRET strimzi.io/ca-cert-generation=CA-CERTIFICATE-GENERATION

   Copy to Clipboard Toggle word wrap

   oc annotate secret CA-KEY-SECRET strimzi.io/ca-key-generation=CA-KEY-GENERATION

   Copy to Clipboard Toggle word wrap
   • strimzi.io/ca-cert-generation=CA-CERTIFICATE-GENERATION のアノテーションでは、新しい CA 証明書の生成を定義します。

   • strimzi.io/ca-key-generation=CA-KEY-GENERATION のアノテーションは、新しい CA キーの生成を定義します。

     クラスター Operator で自動生成されたCA証明書を置き換える場合は、既存のアノテーションに1つ足した値を使用して、CAキーの置き換え手順を実行します。クラスター Operator で自動生成されたCA証明書がない場合は、0 を開始点として独自の CA 証明書を増分値で (strimzi.io/ca-cert-generation=0) 指定していきます。証明書を更新するときは、値を 1 つ増やして設定します。

5. クラスターの Kafka リソースを作成し、生成された CA を 使用しない ように Kafka.spec.clusterCa または Kafka.spec.clientsCa オブジェクトを設定します。

   独自指定の証明書を使用するようにクラスター CA を設定する Kafka リソースの例 (抜粋)

   kind: Kafka
   version: kafka.strimzi.io/v1beta2
   spec:
     # ...
     clusterCa:
       generateCertificateAuthority: false

   Copy to Clipboard Toggle word wrap