9.10. 将 Red Hat OpenShift 的 cert-manager Operator 与 Istio-CSR 集成

流程

1. 创建定义 Issuer 和 Certificate 对象的 YAML 文件：

   issuer.yaml 文件示例

   apiVersion: cert-manager.io/v1
   kind: Issuer 

   1

   
   metadata:
     name: selfsigned
     namespace: <istio_project_name> 

   2

   
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: <istio_project_name>
   spec:
     isCA: true
     duration: 87600h # 10 years
     secretName: istio-ca
     commonName: istio-ca
     privateKey:
       algorithm: ECDSA
       size: 256
     subject:
       organizations:
         - cluster.local
         - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer 

   3

   
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer 

   4

   
   metadata:
     name: istio-ca
     namespace: <istio_project_name> 

   5

   
   spec:
     ca:
       secretName: istio-ca

   Copy to Clipboard Toggle word wrap

   1 3 4

   指定 Issuer 或 ClusterIssuer。

   2 5

   指定 Istio 项目的名称。

流程

1. 运行以下命令，为安装 Istio-CSR 创建一个新项目。如果您有一个现有项目用于安装 Istio-CSR，请跳过这一步。

   $ oc new-project <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

2. 创建 IstioCSR 自定义资源，为 Red Hat OpenShift 为 Red Hat OpenShift 启用由 cert-manager Operator 管理的 Istio-CSR 代理，以处理 Istio 工作负载和 control plane 证书签名请求。

   注意

   一次只支持一个 IstioCSR 自定义资源 (CR)。如果创建了多个 IstioCSR CR，则只有一个将处于活跃状态。使用 IstioCSR 的 status 子资源检查资源是否未被处理。

   • 如果同时创建多个 IstioCSR CR，则不会处理任何 IstioCSR CR。
   • 如果按顺序创建多个 IstioCSR CR，则只有第一个 IstioCSR CR 会被处理。
   • 要防止新请求被拒绝，请删除任何未处理的 IstioCSR CR。
   • Operator 不会自动删除为 IstioCSR 创建的对象。如果删除了活跃的 IstioCSR 资源，并在没有删除之前的部署的情况下创建新资源，则多个 istio-csr 部署可能会保持活动状态。不建议使用此行为，且不被支持。

   1. 创建定义 IstioCSR 对象的 YAML 文件：

      IstioCSR CR 示例

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  

      1

      
              kind: Issuer 

      2

      
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: <istio_project_name>

      Copy to Clipboard Toggle word wrap

      1

      指定 Issuer 或 ClusterIssuer 名称。它应与 issuer.yaml 文件中定义的 CA 签发者名称相同。

      2

      指定 Issuer 或 ClusterIssuer kind。它应该与 issuer.yaml 文件中定义的 CA 签发者相同。

   2. 运行以下命令来创建 IstioCSR 自定义资源：

      $ oc create -f IstioCSR.yaml

      Copy to Clipboard Toggle word wrap

验证

1. 运行以下命令验证 Istio-CSR 部署是否已就绪：

   $ oc get deployment -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

   Copy to Clipboard Toggle word wrap

2. 运行以下命令验证 Istio-CSR pod 是否正在运行：

   $ oc get pod -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   Copy to Clipboard Toggle word wrap

   • 运行以下命令，验证 Istio-CSR pod 是否没有报告日志中的任何错误：

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

     Copy to Clipboard Toggle word wrap

   • 运行以下命令，验证 Red Hat OpenShift pod 的 cert-manager Operator 是否没有报告任何错误：

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>

     Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令来编辑 IstioCSR CR：

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 <istio_csr_project_name> 替换为您创建 IstioCSR CR 的命名空间。

2. 在 spec.istioCSRConfig 部分中配置日志级别和格式：

   用于设置日志级别的 IstioCSR CR 配置示例

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       logFormat: text 

   1

   
       logLevel: 2 

   2

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   指定日志输出格式。您可以将此字段设置为 text 或 json。

   2

   设置日志级别。支持的值的范围为 1 到 5，如 Kubernetes 日志记录指南所定义。默认值为 1。

3. 保存并关闭编辑器以应用您的更改。应用更改后，cert-manager Operator 会更新 istio-csr 操作对象的日志配置。

流程

1. 运行以下命令来编辑 IstioCSR CR：

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 <istio_csr_project_name> 替换为您创建 IstioCSR CR 的命名空间。

2. 配置 spec.istioCSRConfig.istioDataPlaneNamespaceSelector 部分来设置命名空间选择器：

   使用命名空间选择器的 IstioCSR CR 配置示例

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       istioDataPlaneNamespaceSelector: maistra.io/member-of=istio-system 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   将 maistra.io/member-of=istio-system 替换为标识服务网格中命名空间的标签键和值。使用 <key>=<value> 格式。

   注意

   istio-csr 组件不会删除或管理与配置的选择器不匹配的命名空间中的 ConfigMap 对象。如果在部署 IstioCSR CR 后创建或更新选择器，或者从命名空间中删除标签，您必须手动删除这些 ConfigMap 对象以避免冲突。

   您可以运行以下命令来列出不在与选择器匹配的命名空间中的 ConfigMap 对象。在本例中，选择器是 maistra.io/member-of=istio-system ：

   printf "%-25s %10s\n" "ConfigMap" "Namespace"; \
   for ns in $(oc get namespaces -l "maistra.io/member-of!=istio-system" -o=jsonpath='{.items[*].metadata.name}'); do \
     oc get configmaps -l "istio.io/config=true" -n $ns --no-headers -o jsonpath='{.items[*].metadata.name}{"\t"}{.items[*].metadata.namespace}{"\n"}' --ignore-not-found; \
   done

   Copy to Clipboard Toggle word wrap
3. 保存并关闭编辑器以应用您的更改。应用更改后，Red Hat OpenShift 的 cert-manager Operator 会更新 istio-csr 操作对象的命名空间选择器配置。

流程

1. 运行以下命令来编辑 IstioCSR CR：

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 <istio_csr_project_name> 替换为您创建 IstioCSR CR 的命名空间。

2. 通过编辑 spec.istioCSRConfig.certManager 部分来配置 CA 捆绑包：

   带有 CA 捆绑包配置的 IstioCSR CR 示例

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       certManager:
         istioCACertificate:
           key: <key_in_the_configmap> 

   1

   
           name: <configmap_name> 

   2

   
           namespace: <configmap_namespace> 

   3

   Copy to Clipboard Toggle word wrap

   1

   指定包含 CA 捆绑包的 ConfigMap 中的键名称。

   2

   指定 ConfigMap 的名称。在更新此字段前，请确保引用的 ConfigMap 和密钥存在。

   3

   可选：指定 ConfigMap 存在的命名空间。如果没有设置此字段，cert-manager Operator for Red Hat OpenShift 会在安装 IstioCSR CR 的命名空间中搜索 ConfigMap。

   注意

   每当轮转 CA 证书时，必须使用最新的证书手动更新 ConfigMap。

3. 保存并关闭编辑器以应用您的更改。应用更改后，cert-manager Operator 会更新 istio-csr 操作对象的 CA 捆绑包。