第 9 章配置 TLS 安全配置集

TLS 安全配置文件为服务器提供了一种方式，以规范在连接到服务器时可以使用什么加密方式。这样可确保 OpenShift Container Platform 组件使用加密库，它们不允许已知的不安全协议、密码或算法。

集群管理员可选择要用于以下每个组件的 TLS 安全配置集：

Ingress Controller
control plane
这包括 Kubernetes API 服务器、Kubernetes 控制器管理器、Kubernetes 调度程序、OpenShift API 服务器、OpenShift OAuth API 服务器和 OpenShift OAuth 服务器。
kubelet，当作为 Kubernetes API 服务器的 HTTP 服务器时

9.1. 了解 TLS 安全配置集

您可以使用 TLS（Transport Layer Security）安全配置集来定义各种 OpenShift Container Platform 组件需要哪些 TLS 密码。OpenShift Container Platform TLS 安全配置集基于 Mozilla 推荐的配置。

您可以为每个组件指定以下 TLS 安全配置集之一：

表 9.1. TLS 安全配置集
profile	描述
`Old`	此配置集用于旧的客户端或库。该配置集基于旧的向后兼容性建议配置。 `Old` 配置集要求最低 TLS 版本 1.0。注意对于 Ingress Controller，最小 TLS 版本从 1.0 转换为 1.1。
`Intermediate`	这个配置集是大多数客户端的建议配置。它是 Ingress Controller、kubelet 和 control plane 的默认 TLS 安全配置集。该配置集基于 Intermediate 兼容性推荐的配置。 `Intermediate` 配置集需要最小 TLS 版本 1.2。
`Modern`	此配置集主要用于不需要向后兼容的现代客户端。这个配置集基于 Modern 兼容性推荐的配置。 `Modern` 配置集需要最低 TLS 版本 1.3。注意在 OpenShift Container Platform 4.6、4.7 和 4.8 中，`Modern` 配置集不被支持。如果选择，则启用 `Intermediate` 配置集。重要 `Modern` 配置集当前不受支持。
`Custom`	此配置集允许您定义要使用的 TLS 版本和密码。警告使用 `Custom` 配置集时要谨慎，因为无效的配置可能会导致问题。注意 OpenShift Container Platform router 会启用由红帽提供的 OpenSSL 默认 TLS `1.3` 加密套件。您的集群可能会接受 TLS `1.3` 连接和密码套件，即使 OpenShift Container Platform 4.6、4.7 和 4.8 不支持 TLS `1.3`。

注意

当使用预定义的配置集类型时，有效的配置集配置可能会在发行版本之间有所改变。例如，使用在版本 X.Y.Z 中部署的 Intermediate 配置集指定了一个规格，升级到版本 X.Y.Z+1 可能会导致应用新的配置集配置，从而导致推出部署。