16.3. 証明書の更新および有効期間

1. 新しい CA 証明書を生成しますが、既存のキーは保持します。

   該当する Secret 内の ca.crt という名前の古い証明書が新しい証明書に置き換えられます。

2. 新しいクライアント証明書を生成します (ZooKeeper ノード、Kafka ブローカー、および Entity Operator 用)。

   署名鍵は変わっておらず、CA 証明書と同期してクライアント証明書の有効期間を維持するため、これは必須ではありません。

3. ZooKeeper ノードを再起動して、ZooKeeper ノードが新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。
4. Kafka ブローカーを再起動して、Kafka ブローカーが新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。

5. Topic Operator および User Operator を再起動して、それらの Operator が新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。

   ユーザー証明書はクライアント CA により署名されます。User Operator によって生成されるユーザー証明書は、クライアント CA の更新時に更新されます。

手順

1. strimzi.io/force-renew アノテーションを、更新対象の CA 証明書が含まれる secret に適用します。

   クラスター CA シークレットの更新

   oc annotate secret my-cluster-cluster-ca-cert -n my-project strimzi.io/force-renew="true"

   クライアント CA シークレットの更新

   oc annotate secret my-cluster-clients-ca-cert -n my-project strimzi.io/force-renew="true"

2. 次回の調整時に、Cluster Operator は新しい証明書を生成します。

   メンテナンス時間枠が設定されている場合、Cluster Operator によって、最初の調整時に次のメンテナンス時間枠内で新規 CA 証明書が生成されます。

3. 新しい CA 証明書の有効期間を確認します。

   新しいクラスター CA 証明書の有効期間の確認

   oc get secret my-cluster-cluster-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   新しいクライアント CA 証明書の有効期間の確認

   oc get secret my-cluster-clients-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   このコマンドは、CA 証明書の有効な開始日と終了日である notBefore および notAfter の日付を返します。

4. 新しいクラスター CA 証明書を信頼するようにクライアント設定を更新します。

   参照:

   • 「クラスター CA を信頼する内部クライアントの設定」
   • 「クラスター CA を信頼する外部クライアントの設定」

手順

1. 期限切れの CA 証明書を含むシークレットを削除します。

   クラスター CA シークレットの削除

   oc delete secret my-cluster-cluster-ca-cert -n my-project

   クライアント CA シークレットの削除

   oc delete secret my-cluster-clients-ca-cert -n my-project

2. Cluster Operator が新しい証明書を生成するまで待ちます。

   • Kafka ブローカーの ID を検証するための新しい CA クラスター証明書が、同じ名前のシークレット (my-cluster-cluster-ca-cert) で作成されます。
   • Kafka ユーザーの ID を検証するための新しい CA クライアント証明書が、同じ名前のシークレット (my-cluster-clients-ca-cert) で作成されます。

3. 新しい CA 証明書の有効期間を確認します。

   新しいクラスター CA 証明書の有効期間の確認

   oc get secret my-cluster-cluster-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   新しいクライアント CA 証明書の有効期間の確認

   oc get secret my-cluster-clients-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   このコマンドは、CA 証明書の有効な開始日と終了日である notBefore および notAfter の日付を返します。

4. CA 証明書を使用するコンポーネント Pod とシークレットを削除します。

   1. ZooKeeper シークレットを削除します。
   2. Cluster Operator が欠落している ZooKeeper シークレットを検出し、再作成するまで待ちます。
   3. すべての ZooKeeper Pod を削除します。
   4. Kafka シークレットを削除します。
   5. Cluster Operator が欠落している Kafka シークレットを検出して再作成するまで待ちます。
   6. すべての Kafka Pod を削除します。

   クライアント CA 証明書のみを回復する場合は、Kafka シークレットと Pod を削除するだけで済みます。

   次の oc コマンドを使用してリソースを検索し、それらが削除されたことを確認することもできます。

   oc get <resource_type> --all-namespaces | grep <kafka_cluster_name>

   <resource_type> を、Pod や Secret などのリソースのタイプに置き換えます。

5. Cluster Operator が欠落している Kafka および ZooKeeper Pod を検出し、更新された CA 証明書を使用してそれらを再作成するまで待ちます。

   調整時に、Cluster Operator は新しい CA 証明書を信頼するように他のコンポーネントを自動的に更新します。

6. Cluster Operator ログに証明書の検証に関連する問題がないことを確認します。

7. 新しいクラスター CA 証明書を信頼するようにクライアント設定を更新します。

   参照:

   • 「クラスター CA を信頼する内部クライアントの設定」
   • 「クラスター CA を信頼する外部クライアントの設定」