Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

1.6. 管理证书

继续阅读以了解有关如何刷新、替换、轮转和列出证书的信息。

您可以刷新 Red Hat Advanced Cluster Management 受管证书，它们是由 Red Hat Advanced Cluster Management 服务创建和管理的证书。

完成以下步骤以刷新 Red Hat Advanced Cluster Management 管理的证书：

  1. 运行以下命令，删除与 Red Hat Advanced Cluster Management 管理证书关联的 secret： 

    oc delete secret -n <namespace> <secret>
    1
    Copy to Clipboard Toggle word wrap
    1
    将 <namespace> 和 <secret> 替换为您要使用的值。

  2. 运行以下命令，重启与 Red Hat Advanced Cluster Management 受管证书关联的服务： 

    oc delete pod -n <namespace> -l <pod-label>
    1
    Copy to Clipboard Toggle word wrap
    1
    将 <namespace> 和 <pod-label> 替换为 Red Hat Advanced Cluster Management 受管集群证书 表中的值。

    注： 如果没有指定 pod-label，则不会重启任何服务。secret 被重新创建并自动使用。

1.6.2. 替换 alertmanager 路由的证书
复制链接

如果您不想使用 OpenShift Container Platform 默认入口证书，请通过更新 Alertmanager 路由来替换可观察性警报管理器证书。完成以下步骤：

  1. 使用以下命令检查可观察证书： 

    openssl x509  -noout -text -in ./observability.crt
    Copy to Clipboard Toggle word wrap
  2. 将证书上的通用名称 (CN) 更改为 alertmanager。
  3. 使用 alertmanager 路由的主机名更改 csr.cnf 配置文件中的 SAN。

  4. 在 open-cluster-management-observability 命名空间中创建以下两个 secret。运行以下命令： 

    oc -n open-cluster-management-observability create secret tls alertmanager-byo-ca --cert ./ca.crt --key ./ca.key

oc -n open-cluster-management-observability create secret tls alertmanager-byo-cert --cert ./ingress.crt --key ./ingress.key
    Copy to Clipboard Toggle word wrap

1.6.3. 轮转 gatekeeper Webhook 证书
复制链接

完成以下步骤以轮转 gatekeeper Webhook 证书：

  1. 使用以下命令编辑包含证书的 secret： 

    oc edit secret -n openshift-gatekeeper-system gatekeeper-webhook-server-cert
    Copy to Clipboard Toggle word wrap
  2. 删除 data 部分中的以下内容： ca.crt、ca.key、tls.crt 和 tls.key。

  3. 使用以下命令删除 gatekeeper-controller-manager pod 来重启 gatekeeper Webhook 服务： 

    oc delete pod -n openshift-gatekeeper-system -l control-plane=controller-manager
    Copy to Clipboard Toggle word wrap

gatekeeper Webhook 证书被轮转。

1.6.4. 验证证书轮转
复制链接

按照以下流程验证您的证书是否已轮转：

  1. 找到要检查的 secret。
  2. 检查 tls.crt 密钥以验证证书是否可用。

  3. 使用以下命令显示证书信息： 

    oc get secret <your-secret-name> -n open-cluster-management -o jsonpath='{.data.tls\.crt}' | base64 -d | openssl x509 -text -noout
    Copy to Clipboard Toggle word wrap

    将 <your-secret-name> 替换为您要验证的 secret 的名称。如果需要，还要更新命名空间和 JSON 路径。

  4. 检查输出中的 Validity 详情。查看以下 Validity 示例： 

    Validity
            Not Before: Jul 13 15:17:50 2023 GMT
    1 
    
            Not After : Jul 12 15:17:50 2024 GMT
    2
    Copy to Clipboard Toggle word wrap
    1
    Not Before 值是您轮转证书的日期和时间。
    2
    Not After 值是证书过期的日期和时间。

1.6.5. 列出 hub 集群受管证书
复制链接

您可以查看在内部使用 OpenShift Service Serving 证书服务的 hub 集群受管证书列表。运行以下命令列出证书： 

for ns in multicluster-engine open-cluster-management ; do echo "$ns:" ; oc get secret -n $ns -o custom-columns=Name:.metadata.name,Expiration:.metadata.annotations.service\\.beta\\.openshift\\.io/expiry | grep -v '<none>' ; echo ""; done
Copy to Clipboard Toggle word wrap

如需更多信息，请参阅附加资源部分中的 OpenShift Service Serving 证书部分。

注：如果启用了可观察性，则还需要额外的命名空间来创建证书。

1.6.6. 其他资源
复制链接

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat