8.3. 使用服务提供的证书 secret 保护服务流量

流程

1. 使用 service.beta.openshift.io/serving-cert-secret-name 注解该服务。

   $ oc annotate service <service-name> \1
        service.beta.openshift.io/serving-cert-secret-name=<secret-name> 2

   1

   将 <service-name> 替换为要保护的服务的名称。

   2

   <secret-name> 是生成的 secret 的名称，该 secret 包含证书和密钥对。为方便起见，建议您使用与 <service-name> 相同的名称。

   例如，使用以下命令来注解服务 foo：

   $ oc annotate service foo service.beta.openshift.io/serving-cert-secret-name=foo

2. 检查服务以确认是否存在注解。

   $ oc describe service <service-name>
   ...
   Annotations:              service.beta.openshift.io/serving-cert-secret-name: <service-name>
                             service.beta.openshift.io/serving-cert-signed-by: openshift-service-serving-signer@1556850837
   ...

3. 在集群为服务生成 secret 后，PodSpec 可以挂载它，Pod 也会在可用后运行。

流程

1. 使用 service.beta.openshift.io/inject-cabundle=true 注解 ConfigMap。

   $ oc annotate configmap <configmap-name> \1
        service.beta.openshift.io/inject-cabundle=true

   1

   将 <configmap-name> 替换为要注解的 ConfigMap 的名称。

   注意

   在 volumeMount 中明确引用 service-ca.crt 键会使 Pod 无法启动，直到 ConfigMap 通过 CA 捆绑包注入后为止。

   例如，若要注解 ConfigMap foo，应使用以下命令：

   $ oc annotate configmap foo service.beta.openshift.io/inject-cabundle=true

2. 查看 ConfigMap 以确保证书已经生成。这在 YAML 输出中显示为 service-ca.crt。

   $ oc get configmap <configmap-name> -o yaml
   apiVersion: v1
   data:
     service-ca.crt: |
       -----BEGIN CERTIFICATE-----
   ...

流程

1. 检查该服务以确定包含证书的 secret。这可以在 service-cert-secret-name 注解中找到，如下所示。

   $ oc describe service <service-name>
   ...
   service.beta.openshift.io/serving-cert-secret-name: <secret>
   ...

2. 删除为服务生成的 secret。此过程将自动重新创建 secret。

   $ oc delete secret <secret> 1

   1

   将 <secret> 替换为前一步中的 secret 名称。

3. 通过获取新 secret 并检查 AGE 来确认已经重新创建了证书。

   $ oc get secret <service-name>
   
   NAME              TYPE                DATA   AGE
   <service.name>    kubernetes.io/tls   2      1s

流程

1. 使用以下命令，查看当前服务 CA 证书的到期日期。

   $ oc get secrets/signing-key -n openshift-service-ca \
        -o template='{{index .data "tls.crt"}}' \
        | base64 -d \
        | openssl x509 -noout -enddate

2. 手动轮转服务 CA。此过程会生成一个新的服务 CA，用来为新服务证书签名。

   $ oc delete secret/signing-key -n openshift-service-ca

3. 要将新证书应用到所有服务，请重启集群中的所有 Pod。此命令确保所有服务都使用更新的证书。

   $ for I in $(oc get ns -o jsonpath='{range .items[*]} {.metadata.name}{"\n"} {end}'); \
         do oc delete pods --all -n $I; \
         sleep 1; \
         done

   警告

   此命令会导致服务中断，因为它将遍历并删除每个命名空间中运行的 Pod。这些 Pod 会在删除后自动重启。