18.6. 자체 CA 인증서 및 개인 키 사용

프로세스

1. CA 인증서가 포함된 새 보안을 생성합니다.

   PEM 형식의 인증서가 있는 클라이언트 보안 생성

   oc create secret generic <cluster_name>-clients-ca-cert --from-file=ca.crt=ca.crt

   PEM 및 PKCS #12 형식의 인증서로 클러스터 시크릿 생성

   oc create secret generic <cluster_name>-cluster-ca-cert \
     --from-file=ca.crt=ca.crt \
     --from-file=ca.p12=ca.p12 \
     --from-literal=ca.password=P12-PASSWORD

   <cluster_name>을 Kafka 클러스터 이름으로 바꿉니다.

2. 개인 키가 포함된 새 보안을 생성합니다.

   oc create secret generic <ca_key_secret> --from-file=ca.key=ca.key

3. 보안에 레이블을 지정합니다.

   oc label secret <ca_certificate_secret> strimzi.io/kind=Kafka strimzi.io/cluster="<cluster_name>"

   oc label secret <ca_key_secret> strimzi.io/kind=Kafka strimzi.io/cluster="<cluster_name>"

   • strimzi.io/kind=Kafka 레이블은 Kafka 사용자 정의 리소스를 식별합니다.
   • strimzi.io/cluster="<cluster_name>" 레이블은 Kafka 클러스터를 식별합니다.

4. 보안 주석

   oc annotate secret <ca_certificate_secret> strimzi.io/ca-cert-generation="<ca_certificate_generation>"

   oc annotate secret <ca_key_secret> strimzi.io/ca-key-generation="<ca_key_generation>"

   • 주석 strimzi.io/ca-cert-generation="<ca_certificate_generation>" 은 새 CA 인증서 생성을 정의합니다.

   • 주석 strimzi.io/ca-key-generation="<ca_key_generation>" 은 새 CA 키 생성을 정의합니다.

     0(zero)에서 자체 CA 인증서에 대한 증분 값(stimzi.io/ca-cert-generation=0)으로 시작합니다. 인증서를 갱신할 때 더 높은 증분 값을 설정합니다.

5. 생성된 CA를 사용하지 않도록 Kafka.spec.clusterCa 또는 Kafka.spec.clientsCa 오브젝트를 구성하여 클러스터에 대한 Kafka 리소스를 생성합니다.

   사용자가 제공한 인증서를 사용하도록 클러스터 CA를 구성하는 조각 모음 Kafka 리소스의 예

   kind: Kafka
   version: kafka.strimzi.io/v1beta2
   spec:
     # ...
     clusterCa:
       generateCertificateAuthority: false