16.3. 인증서 갱신 및 유효 기간

1. 새 CA 인증서를 생성하지만 기존 키를 유지합니다.

   새 인증서는 이전 인증서를 해당 시크릿 내의 ca.crt 이름으로 교체합니다.

2. 새 클라이언트 인증서( Zookafka 노드, Kafka 브로커 및 Entity Operator용)를 생성합니다.

   서명 키가 변경되지 않았으므로 엄격하게 필요하지 않지만 클라이언트 인증서의 유효 기간이 CA 인증서와 동기화됩니다.

3. 새 CA 인증서를 신뢰하고 새 클라이언트 인증서를 사용할 수 있도록 Zoo Cryostat 노드를 재시작합니다.
4. Kafka 브로커를 다시 시작하여 새 CA 인증서를 신뢰하고 새 클라이언트 인증서를 사용합니다.

5. 새 CA 인증서를 신뢰하고 새 클라이언트 인증서를 사용하도록 Topic 및 User Operator를 다시 시작합니다.

   사용자 인증서는 클라이언트 CA에서 서명합니다. User Operator가 생성한 사용자 인증서는 클라이언트 CA가 갱신될 때 갱신됩니다.

프로세스

1. 갱신하려는 CA 인증서가 포함된 보안에 strimzi.io/force-renew 주석을 적용합니다.

   클러스터 CA 시크릿 갱신

   oc annotate secret my-cluster-cluster-ca-cert -n my-project strimzi.io/force-renew="true"

   Copy to Clipboard Toggle word wrap

   클라이언트 CA 시크릿 갱신

   oc annotate secret my-cluster-clients-ca-cert -n my-project strimzi.io/force-renew="true"

   Copy to Clipboard Toggle word wrap

2. 다음 조정에서 Cluster Operator는 새 인증서를 생성합니다.

   유지 관리 시간 창이 구성된 경우 Cluster Operator는 다음 유지 관리 기간 기간 내에 첫 번째 조정에 새 CA 인증서를 생성합니다.

3. 새 CA 인증서의 유효 기간을 확인합니다.

   새 클러스터 CA 인증서의 유효 기간 확인

   oc get secret my-cluster-cluster-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   Copy to Clipboard Toggle word wrap

   새 클라이언트 CA 인증서의 유효 기간 확인

   oc get secret my-cluster-clients-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   Copy to Clipboard Toggle word wrap

   이 명령은 CA 인증서에 유효한 시작 및 종료 날짜인 notBefore 및 notAfter 날짜를 반환합니다.

4. 새 클러스터 CA 인증서를 신뢰하도록 클라이언트 구성을 업데이트합니다.

   다음 내용을 참조하십시오.

   • 16.4절. “클러스터 CA를 신뢰하도록 내부 클라이언트 구성”
   • 16.5절. “클러스터 CA를 신뢰하도록 외부 클라이언트 구성”

프로세스

1. 만료된 CA 인증서가 포함된 보안을 삭제합니다.

   클러스터 CA 시크릿 삭제

   oc delete secret my-cluster-cluster-ca-cert -n my-project

   Copy to Clipboard Toggle word wrap

   클라이언트 CA 시크릿 삭제

   oc delete secret my-cluster-clients-ca-cert -n my-project

   Copy to Clipboard Toggle word wrap

2. Cluster Operator가 새 인증서를 생성할 때까지 기다립니다.

   • Kafka 브로커의 ID를 동일한 이름(my-cluster-cluster-ca-cert)의 시크릿에 생성하는 새 CA 클러스터 인증서입니다.
   • Kafka 사용자의 ID를 확인하는 새 CA 클라이언트 인증서가 동일한 이름의 시크릿(my-cluster-clients-ca-cert)에 생성됩니다.

3. 새 CA 인증서의 유효 기간을 확인합니다.

   새 클러스터 CA 인증서의 유효 기간 확인

   oc get secret my-cluster-cluster-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   Copy to Clipboard Toggle word wrap

   새 클라이언트 CA 인증서의 유효 기간 확인

   oc get secret my-cluster-clients-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   Copy to Clipboard Toggle word wrap

   이 명령은 CA 인증서에 유효한 시작 및 종료 날짜인 notBefore 및 notAfter 날짜를 반환합니다.

4. CA 인증서를 사용하는 구성 요소 Pod 및 시크릿을 삭제합니다.

   1. Zoo Cryostat 시크릿을 삭제합니다.
   2. Cluster Operator가 누락된 Zoo Cryostat 시크릿을 감지하고 다시 생성할 때까지 기다립니다.
   3. 모든 Zoo Cryostat Pod를 삭제합니다.
   4. Kafka 시크릿을 삭제합니다.
   5. Cluster Operator가 누락된 Kafka 시크릿을 감지하고 다시 생성할 때까지 기다립니다.
   6. 모든 Kafka Pod를 삭제합니다.

   클라이언트 CA 인증서만 복구하는 경우 Kafka 시크릿 및 Pod만 삭제해야 합니다.

   다음 oc 명령을 사용하여 리소스를 찾고 해당 리소스가 제거되었는지 확인할 수 있습니다.

   oc get <resource_type> --all-namespaces | grep <kafka_cluster_name>

   Copy to Clipboard Toggle word wrap

   & lt;resource_type >을 Pod 또는 Secret 과 같은 리소스 유형으로 바꿉니다.

5. Cluster Operator가 누락된 Kafka 및 Zoo Cryostat Pod를 감지하고 업데이트된 CA 인증서로 다시 생성할 때까지 기다립니다.

   조정 시 Cluster Operator는 새 CA 인증서를 신뢰하도록 다른 구성 요소를 자동으로 업데이트합니다.

6. Cluster Operator 로그의 인증서 검증과 관련된 문제가 없는지 확인합니다.

7. 새 클러스터 CA 인증서를 신뢰하도록 클라이언트 구성을 업데이트합니다.

   다음 내용을 참조하십시오.

   • 16.4절. “클러스터 CA를 신뢰하도록 내부 클라이언트 구성”
   • 16.5절. “클러스터 CA를 신뢰하도록 외부 클라이언트 구성”