10장. TLS 인증서 관리

절차

1. Cluster Operator가 생성한 CA 인증서를 교체합니다.

   1. 기존 보안을 삭제합니다.

      oc delete secret CA-CERTIFICATE-SECRET

      Copy to Clipboard Toggle word wrap

      CA-CERTIFICATE-SECRET 은 시크릿 의 이름입니다.

      • clUSTER-NAME-cluster-ca-cert 클러스터 CA 인증서
      • CLUSTER-NAME-clients-ca-cert 클라이언트 CA 인증서

      CLUSTER-NAME 을 Kafka 클러스터 이름으로 교체합니다.

      "Not Exists" 오류를 무시합니다.

   2. 새 시크릿을 생성합니다.

      PEM 형식의 인증서가 있는 클라이언트 보안 생성

      oc create secret generic CLUSTER-NAME-clients-ca-cert --from-file=ca.crt=ca.crt

      Copy to Clipboard Toggle word wrap

      PEM 및 PKCS #12 형식의 인증서로 클러스터 시크릿 생성

      oc create secret generic CLUSTER-NAME-cluster-ca-cert \
        --from-file=ca.crt=ca.crt \
        --from-file=ca.p12=ca.p12 \
        --from-literal=ca.password=P12-PASSWORD

      Copy to Clipboard Toggle word wrap

2. Cluster Operator가 생성한 개인 키를 교체합니다.

   1. 기존 보안을 삭제합니다.

      oc delete secret CA-KEY-SECRET

      Copy to Clipboard Toggle word wrap

      ca-KEY-SECRET 은 CA 키의 이름입니다.

      • CLUSTER-NAME-cluster-ca for the cluster CA key
      • CLUSTER-NAME-clients-ca for the clients CA 키

   2. 새 시크릿을 생성합니다.

      oc create secret generic CA-KEY-SECRET --from-file=ca.key=ca.key

      Copy to Clipboard Toggle word wrap

3. 보안에 레이블을 지정합니다.

   oc label secret CA-CERTIFICATE-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME

   Copy to Clipboard Toggle word wrap

   oc label secret CA-KEY-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME

   Copy to Clipboard Toggle word wrap
   • strimzi.io/kind=Kafka 레이블은 Kafka 사용자 정의 리소스를 식별합니다.
   • 레이블 strimzi.io/cluster=CLUSTER-NAME 은 Kafka 클러스터를 식별합니다.

4. 보안 주석

   oc annotate secret CA-CERTIFICATE-SECRET strimzi.io/ca-cert-generation=CA-CERTIFICATE-GENERATION

   Copy to Clipboard Toggle word wrap

   oc annotate secret CA-KEY-SECRET strimzi.io/ca-key-generation=CA-KEY-GENERATION

   Copy to Clipboard Toggle word wrap
   • 주석 strimzi.io/ca-cert-generation=CA-CERTIFICATE-GENERATION 은 새 CA 인증서의 생성을 정의합니다.

   • 주석 strimzi.io/ca-key-generation=CA-KEY-GENERATION 은 새 CA 키 생성을 정의합니다.

     Cluster Operator에서 자동으로 생성한 CA 인증서를 교체하는 경우 기존 주석에서 더 높은 증분 값을 사용하고 CA 키 교체 절차 를 따르십시오. Cluster Operator에서 자동으로 생성한 CA 인증서가 없는 경우 0(zero)에서 자체 CA 인증서에 대한 증분 값(strimzi.io/ca-cert-generation=0)으로 시작합니다. 인증서를 갱신할 때 더 높은 증분 값을 설정합니다.

5. 생성된 CA를 사용하지 않도록 Kafka.spec.clusterCa 또는 Kafka.spec.clientsCa 오브젝트를 구성하여 클러스터에 대한 Kafka 리소스를 생성합니다.

   사용자가 제공한 인증서를 사용하도록 클러스터 CA를 구성하는 조각 모음 Kafka 리소스의 예

   kind: Kafka
   version: kafka.strimzi.io/v1beta2
   spec:
     # ...
     clusterCa:
       generateCertificateAuthority: false

   Copy to Clipboard Toggle word wrap