第 3 章 配置证书

流程

1. 创建仅包含用于为通配符证书签名的 root CA 证书的配置映射：

   $ oc create configmap custom-ca \
        --from-file=ca-bundle.crt=</path/to/example-ca.crt> \

   1

   
        -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   </path/to/cert.crt> 是 root CA 证书文件在本地文件系统中的路径。例如，/etc/pki/ca-trust/source/anchors。

2. 使用新创建的配置映射更新集群范围的代理配置：

   $ oc patch proxy/cluster \
        --type=merge \
        --patch='{"spec":{"trustedCA":{"name":"custom-ca"}}}'

   Copy to Clipboard Toggle word wrap
   注意

   如果您只更新集群的可信 CA，MCO 会更新 /etc/pki/ca-trust/source/anchors/openshift-config-user-ca-bundle.crt 文件，Machine Config Controller (MCC) 将可信 CA 更新应用到每个节点，以便不需要重启节点。但是，在这些更改时，Machine Config Daemon (MCD) 会在每个节点上重启关键服务，如 kubelet 和 CRI-O。这些服务重启会导致每个节点简要进入 NotReady 状态，直到服务完全重启为止。

   如果您更改了 openshift-config-user-ca-bundle.crt 文件中的任何其他参数，如 noproxy，MCO 会重启集群中的每个节点。

3. 创建包含通配符证书链和密钥的 secret ：

   $ oc create secret tls <secret> \

   1

   
        --cert=</path/to/cert.crt> \

   2

   
        --key=</path/to/cert.key> \

   3

   
        -n openshift-ingress

   Copy to Clipboard Toggle word wrap

   1

   <secret> 是将要包含证书链和私钥的 secret 的名称。

   2

   </path/to/cert.crt> 是证书链在本地文件系统中的路径。

   3

   </path/to/cert.key> 是与此证书关联的私钥的路径。

4. 使用新创建的 secret 更新 Ingress Controller 配置：

   $ oc patch ingresscontroller.operator default \
        --type=merge -p \
        '{"spec":{"defaultCertificate": {"name": "<secret>"}}}' \

   1

   
        -n openshift-ingress-operator

   Copy to Clipboard Toggle word wrap

   1

   将 <secret> 替换为上一步中用于 secret 的名称。

   重要

   要触发 Ingress Operator 执行滚动更新，您必须更新 secret 的名称。因为 kubelet 会自动将更改传播到卷挂载中的 secret，所以更新 secret 内容不会触发滚动更新。如需更多信息，请参阅红帽知识库解决方案。