第 10 章 安全性

流程

1. 在 spec 中创建一个包含 internal-encryption: "true" 字段的 Knative 服务：

   ...
   spec:
     config:
       network:
         internal-encryption: "true"
   ...

2. 重启 knative-serving 命名空间中的 activator pod 来加载证书：

   $ oc delete pod -n knative-serving --selector app=activator

流程

1. 在 knative-serving-ingress 命名空间中部署服务器证书：

   $ export san="knative"

   注意

   需要主题备用名称(SAN)验证，以便这些证书能够向 <app_name>.<namespace>.svc.cluster.local 提供请求。

2. 生成 root 密钥和证书：

   $ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
       -subj '/O=Example/CN=Example' \
       -keyout ca.key \
       -out ca.crt

3. 生成使用 SAN 验证的服务器密钥：

   $ openssl req -out tls.csr -newkey rsa:2048 -nodes -keyout tls.key \
     -subj "/CN=Example/O=Example" \
     -addext "subjectAltName = DNS:$san"

4. 创建服务器证书：

   $ openssl x509 -req -extfile <(printf "subjectAltName=DNS:$san") \
     -days 365 -in tls.csr \
     -CA ca.crt -CAkey ca.key -CAcreateserial -out tls.crt

5. 为 Kourier 本地网关配置 secret：

   1. 从前面的步骤创建的证书，在 knative-serving-ingress 命名空间中部署 secret：

      $ oc create -n knative-serving-ingress secret tls server-certs \
          --key=tls.key \
          --cert=tls.crt --dry-run=client -o yaml | oc apply -f -

   2. 更新 KnativeServing 自定义资源 (CR) spec，以使用 Kourier 网关创建的 secret：

      KnativeServing CR 示例

      ...
      spec:
        config:
          kourier:
            cluster-cert-secret: server-certs
      ...

流程

1. 创建 Kubernetes TLS secret：

   $ oc create secret tls <tls_secret_name> --cert=<path_to_certificate_file> --key=<path_to_key_file>

2. 如果您使用 Red Hat OpenShift Service Mesh 作为 OpenShift Serverless 安装的 ingress，请使用以下内容标记 Kubernetes TLS secret：

   “networking.internal.knative.dev/certificate-uid": “<value>”

   如果使用第三方 secret 供应商（如 cert-manager），您可以配置 secret manager 来自动标记 Kubernetes TLS secret。cert-manager 用户可以使用提供的 secret 模板自动生成带有正确标签的 secret。在本例中，secret 过滤仅基于键，但这个值可以存储有用的信息，如 secret 包含的证书 ID。

   注意

   {cert-manager-operator} 是一个技术预览功能。如需更多信息，请参阅安装 {cert-manager-operator} 文档。

3. 更新 DomainMapping CR，以使用您创建的 TLS secret：

   apiVersion: serving.knative.dev/v1alpha1
   kind: DomainMapping
   metadata:
     name: <domain_name>
     namespace: <namespace>
   spec:
     ref:
       name: <service_name>
       kind: Service
       apiVersion: serving.knative.dev/v1
   # TLS block specifies the secret to be used
     tls:
       secretName: <tls_secret_name>

验证

1. 验证 DomainMapping CR 状态是否为 True，输出中的 URL 列显示了使用 scheme https 的映射域：

   $ oc get domainmapping <domain_name>

   输出示例

   NAME                      URL                               READY   REASON
   example.com               https://example.com               True

2. 可选： 如果服务公开，请运行以下命令验证该服务是否可用：

   $ curl https://<domain_name>

   如果证书是自签名的，请通过在 curl 命令中添加 -k 标志来跳过验证。

流程

1. 在 knative-eventing 命名空间中创建证书文件作为 secret：

   $ oc create secret -n knative-eventing generic <secret_name> \
     --from-literal=protocol=SSL \
     --from-file=ca.crt=caroot.pem \
     --from-file=user.crt=certificate.pem \
     --from-file=user.key=key.pem

   重要

   使用密钥名称 ca.crt、user.crt 和 user.key。不要更改它们。

2. 编辑 KnativeKafka CR，并在 broker spec 中添加对 secret 的引用：

   apiVersion: operator.serverless.openshift.io/v1alpha1
   kind: KnativeKafka
   metadata:
     namespace: knative-eventing
     name: knative-kafka
   spec:
     broker:
       enabled: true
       defaultConfig:
         authSecretName: <secret_name>
   ...

流程

1. 在所选命名空间中创建证书文件作为 secret：

   $ oc create secret -n <namespace> generic <kafka_auth_secret> \
     --from-file=ca.crt=caroot.pem \
     --from-file=user.crt=certificate.pem \
     --from-file=user.key=key.pem

   重要

   使用密钥名称 ca.crt、user.crt 和 user.key。不要更改它们。

2. 编辑 KnativeKafka 自定义资源：

   $ oc edit knativekafka

3. 引用您的 secret 和 secret 的命名空间：

   apiVersion: operator.serverless.openshift.io/v1alpha1
   kind: KnativeKafka
   metadata:
     namespace: knative-eventing
     name: knative-kafka
   spec:
     channel:
       authSecretName: <kafka_auth_secret>
       authSecretNamespace: <kafka_auth_secret_namespace>
       bootstrapServers: <bootstrap_servers>
       enabled: true
     source:
       enabled: true

   注意

   确保指定 bootstrap 服务器中的匹配端口。

   例如：

   apiVersion: operator.serverless.openshift.io/v1alpha1
   kind: KnativeKafka
   metadata:
     namespace: knative-eventing
     name: knative-kafka
   spec:
     channel:
       authSecretName: tls-user
       authSecretNamespace: kafka
       bootstrapServers: eventing-kafka-bootstrap.kafka.svc:9094
       enabled: true
     source:
       enabled: true