红帽全球峰会1.3. 证书
在安装 Red Hat Advanced Cluster Management 时，会创建在 Red Hat Advanced Cluster Management 上运行的服务所需的所有证书。查看以下由 Red Hat OpenShift Container Platform 组件创建和管理的证书列表：
- OpenShift Service Serving 证书
- Red Hat Advanced Cluster Management Webhook 控制器
- Kubernetes 证书 API
- OpenShift 默认入口
需要的访问权限： 集群管理员
继续阅读以了解有关证书管理的更多信息：
注意 ：用户负责证书轮转和更新。
1.3.1. Red Hat Advanced Cluster Management hub 集群证书
OpenShift Container Platform 默认入口证书是 hub 集群证书类型。安装 Red Hat Advanced Cluster Management 后，会创建可观察性证书，并由可观察性组件使用，以便在 hub 集群和受管集群之间的流量上提供 mutual TLS。根据您的需要，访问可观察性命名空间以检索并实现不同的可观察证书。
open-cluster-management-observability命名空间有以下证书：-
Observability-server-ca-certs：获取 CA 证书来签署服务器端证书 -
Observability-client-ca-certs：获取 CA 证书来签署客户端的证书 -
Observability-server-certs：获取由observability-observatorium-api 部署使用的服务器证书 -
Observability-grafana-certs：获取observability-rbac-query-proxy部署使用的客户端证书
-
open-cluster-management-addon-observability命名空间在受管集群中有以下证书：-
Observability-managed-cluster-certs：与 hub 服务器中的observability-server-ca-certs相同的服务器 CA 证书 -
observability-controller-open-cluster-management.io-observability-signer-client-cert：由被metrics-collector-deployment使用的客户证书
-
CA 证书的有效期为五年，其他证书的有效期为一年。所有可观察证书会在过期后自动刷新。查看以下列表以了解证书自动更新时的影响：
- 当剩余的有效时间不超过 73 天时，非 CA 证书将自动续订。续订证书后，相关部署中的 Pod 会自动重启以使用更新的证书。
- 当剩余有效时间不超过一年时，CA 证书会被自动续订。证书被续订后，旧的 CA 不会被删除，而是与更新的 CA 共存。相关部署同时使用旧和更新的证书，并继续工作。旧的 CA 证书在过期时会被删除。
- 当证书被续订时，hub 集群和受管集群之间的流量不会中断。
查看以下 Red Hat Advanced Cluster Management hub 集群证书表：
| Namespace | Secret 名称 | Pod 标签 | |
|---|---|---|---|
| open-cluster-management | channels-apps-open-cluster-management-webhook-svc-ca | app=multicluster-operators-channel | open-cluster-management |
| channels-apps-open-cluster-management-webhook-svc-signed-ca | app=multicluster-operators-channel | open-cluster-management | multicluster-operators-application-svc-ca |
| app=multicluster-operators-application | open-cluster-management | multicluster-operators-application-svc-signed-ca | app=multicluster-operators-application |
| open-cluster-management-hub | registration-webhook-serving-cert signer-secret | 不是必需的 | open-cluster-management-hub |
1.3.2. Red Hat Advanced Cluster Management 管理的证书
查看下表，了解包含 Red Hat Advanced Cluster Management 管理的证书和相关 secret 的组件 pod 的总结列表：
| Namespace | Secret 名称（如果适用） |
|---|---|
| open-cluster-management-agent-addon | cluster-proxy-open-cluster-management.io-proxy-agent-signer-client-cert |
| open-cluster-management-agent-addon | cluster-proxy-service-proxy-server-certificates |
使用这些 Red Hat Advanced Cluster Management 受管证书在 hub 集群中验证受管集群。这些受管集群证书得到管理并自动刷新。如果您自定义 hub 集群 API 服务器证书，受管集群会自动更新其证书。
1.3.3. 其他资源
- 如果您试图重新连接没有自动重新连接的受管 hub 集群，请参阅在 证书更改后对导入的集群进行故障排除。
- 在受管集群中使用证书策略控制器来创建和管理证书策略。如需了解更多详细信息，请参阅证书策略控制器。
- 如需了解 使用 SSL/TLS 证书安全地连接到私有托管 Git 服务器的详情，请参阅使用自定义 CA 证书进行安全 HTTPS 连接。
- 如需了解更多详细信息，请参阅 OpenShift Service Serving 证书。
- OpenShift Container Platform 默认入口是 hub 集群证书。如需了解更多详细信息 ，请参阅重新放置 默认入口证书。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}