3.3. 使用服务提供的证书 secret 保护服务流量

流程

1. 使用 service.beta.openshift.io/serving-cert-secret-name 注解该服务：

   $ oc annotate service <service_name> \

   1

   
        service.beta.openshift.io/serving-cert-secret-name=<secret_name> 

   2

   Copy to Clipboard Toggle word wrap

   1

   将 <service_name> 替换为要保护的服务的名称。

   2

   <secret_name> 是生成的 secret 的名称，该 secret 包含证书和密钥对。

   注意

   为方便起见，建议这个值与 <service_name> 相同。

   例如，使用以下命令来注解服务 test1:

   $ oc annotate service test1 service.beta.openshift.io/serving-cert-secret-name=test1

   Copy to Clipboard Toggle word wrap

2. 检查服务以确认是否存在注解：

   $ oc describe service <service_name>

   Copy to Clipboard Toggle word wrap

   输出示例

   ...
   Annotations:              service.beta.openshift.io/serving-cert-secret-name: <service_name>
                             service.beta.openshift.io/serving-cert-signed-by: openshift-service-serving-signer@1556850837
   ...

   Copy to Clipboard Toggle word wrap

3. 在集群为服务生成 secret 后，Pod spec 可以挂载它，pod 将在可用后运行。

流程

1. 输入以下命令，使用 service.beta.openshift.io/inject-cabundle=true 注解来注解配置映射：

   $ oc annotate configmap <config_map_name> \

   1

   
        service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

   1

   将 <config_map_name> 替换为配置映射的名称。

   注意

   在卷挂载中明确引用 service-ca.crt 键可防止 pod 启动，直到配置映射使用 CA 捆绑包注入为止。您可以通过在卷的 serving 证书配置中将 可选 参数设置为 true 来覆盖此行为。

2. 查看配置映射，以确保注入了服务 CA 捆绑包：

   $ oc get configmap <config_map_name> -o yaml

   Copy to Clipboard Toggle word wrap

   CA 捆绑包在 YAML 输出中作为 service-ca.crt 键的值显示：

   apiVersion: v1
   data:
     service-ca.crt: |
       -----BEGIN CERTIFICATE-----
   ...

   Copy to Clipboard Toggle word wrap

3. 通过配置 Deployment 对象，将配置映射作为卷挂载到 pod 中存在的每个容器中。

   为挂载的配置映射定义卷的 Deployment 对象示例

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: my-example-custom-ca-deployment
     namespace: my-example-custom-ca-ns
   spec:
     ...
       spec:
         ...
         containers:
           - name: my-container-that-needs-custom-ca
             volumeMounts:
             - name: trusted-ca
               mountPath: /etc/pki/ca-trust/extracted/pem
               readOnly: true
         volumes:
         - name: trusted-ca
           configMap:
             name: <config_map_name> 

   1

   
             items:
               - key: ca-bundle.crt 

   2

   
                 path: tls-ca-bundle.pem 

   3

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   指定在过程之前的步骤中注解的配置映射的名称。

   2

   CA-bundle.crt 需要作为 ConfigMap 密钥。

   3

   TLS-ca-bundle.pem 需要作为 ConfigMap 的路径。

流程

1. 使用 service.beta.openshift.io/inject-cabundle=true 注解 API 服务：

   $ oc annotate apiservice <api_service_name> \

   1

   
        service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

   1

   将 <api_service_name> 替换为要注解的 API 服务的名称。

   例如，使用以下命令来注解 API 服务 test1:

   $ oc annotate apiservice test1 service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

2. 查看 API 服务，以确保注入了服务 CA 捆绑包：

   $ oc get apiservice <api_service_name> -o yaml

   Copy to Clipboard Toggle word wrap

   CA 捆绑包在 YAML 输出中的 spec.caBundle 字段中显示：

   apiVersion: apiregistration.k8s.io/v1
   kind: APIService
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   spec:
     caBundle: <CA_BUNDLE>
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 使用 service.beta.openshift.io/inject-cabundle=true 注解 CRD：

   $ oc annotate crd <crd_name> \

   1

   
        service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

   1

   将 <crd_name> 替换为要注解的 CRD 的名称。

   例如，使用以下命令来注解 CRD test1:

   $ oc annotate crd test1 service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

2. 查看 CRD，以确保注入了服务 CA 捆绑包：

   $ oc get crd <crd_name> -o yaml

   Copy to Clipboard Toggle word wrap

   CA 捆绑包在 YAML 输出中的 spec.conversion.webhook.clientConfig.caBundle 字段中显示：

   apiVersion: apiextensions.k8s.io/v1
   kind: CustomResourceDefinition
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   spec:
     conversion:
       strategy: Webhook
       webhook:
         clientConfig:
           caBundle: <CA_BUNDLE>
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 使用 service.beta.openshift.io/inject-cabundle=true 注解变异 Webhook 配置：

   $ oc annotate mutatingwebhookconfigurations <mutating_webhook_name> \

   1

   
        service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

   1

   将 <mutating_webhook_name> 替换为要注解的变异 Webhook 配置的名称。

   例如，使用以下命令来注解变异 Webhook 配置 test1:

   $ oc annotate mutatingwebhookconfigurations test1 service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

2. 查看变异 Webhook 配置，以确保注入了服务 CA 捆绑包：

   $ oc get mutatingwebhookconfigurations <mutating_webhook_name> -o yaml

   Copy to Clipboard Toggle word wrap

   CA 捆包在 YAML 输出中所有 webhook 的 clientConfig.caBundle 字段中显示：

   apiVersion: admissionregistration.k8s.io/v1
   kind: MutatingWebhookConfiguration
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   webhooks:
   - myWebhook:
     - v1beta1
     clientConfig:
       caBundle: <CA_BUNDLE>
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 使用 service.beta.openshift.io/inject-cabundle=true 注解验证 Webhook 配置：

   $ oc annotate validatingwebhookconfigurations <validating_webhook_name> \

   1

   
        service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

   1

   将 <validating_webhook_name> 替换为要注解的验证 webhook 配置的名称。

   例如，使用以下命令来注解验证 webhook 配置 test1:

   $ oc annotate validatingwebhookconfigurations test1 service.beta.openshift.io/inject-cabundle=true

   Copy to Clipboard Toggle word wrap

2. 查看验证 Webhook 配置，以确保注入了服务 CA 捆绑包：

   $ oc get validatingwebhookconfigurations <validating_webhook_name> -o yaml

   Copy to Clipboard Toggle word wrap

   CA 捆包在 YAML 输出中所有 webhook 的 clientConfig.caBundle 字段中显示：

   apiVersion: admissionregistration.k8s.io/v1
   kind: ValidatingWebhookConfiguration
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   webhooks:
   - myWebhook:
     - v1beta1
     clientConfig:
       caBundle: <CA_BUNDLE>
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 检查该服务以确定包含证书的 secret。这可以在 service-cert-secret-name 注解中找到，如下所示。

   $ oc describe service <service_name>

   Copy to Clipboard Toggle word wrap

   输出示例

   ...
   service.beta.openshift.io/serving-cert-secret-name: <secret>
   ...

   Copy to Clipboard Toggle word wrap

2. 删除为服务生成的 secret。此过程将自动重新创建 secret。

   $ oc delete secret <secret> 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 <secret> 替换为前一步中的 secret 名称。

3. 通过获取新 secret 并检查 AGE 来确认已经重新创建了证书。

   $ oc get secret <service_name>

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME              TYPE                DATA   AGE
   <service.name>    kubernetes.io/tls   2      1s

   Copy to Clipboard Toggle word wrap

流程

1. 使用以下命令，查看当前服务 CA 证书的到期日期。

   $ oc get secrets/signing-key -n openshift-service-ca \
        -o template='{{index .data "tls.crt"}}' \
        | base64 --decode \
        | openssl x509 -noout -enddate

   Copy to Clipboard Toggle word wrap

2. 手动轮转服务 CA。此过程会生成一个新的服务 CA，用来为新服务证书签名。

   $ oc delete secret/signing-key -n openshift-service-ca

   Copy to Clipboard Toggle word wrap

3. 要将新证书应用到所有服务，请重启集群中的所有 pod。此命令确保所有服务都使用更新的证书。

   $ for I in $(oc get ns -o jsonpath='{range .items[*]} {.metadata.name}{"\n"} {end}'); \
         do oc delete pods --all -n $I; \
         sleep 1; \
         done

   Copy to Clipboard Toggle word wrap
   警告

   此命令会导致服务中断，因为它将遍历并删除每个命名空间中运行的 Pod。这些 Pod 会在删除后自动重启。