4.6.2.2. 配置单向 TLS

步骤

1. 为代理密钥存储生成自签名证书。

   $ keytool -genkey -alias broker -keyalg RSA -keystore ~/broker.ks

2. 从代理密钥存储中导出证书，以便它可以与客户端共享。以 Base64 编码的 .pem 格式导出证书。例如：

   $ keytool -export -alias broker -keystore ~/broker.ks -file ~/broker_cert.pem

3. 在客户端，创建导入代理证书的客户端信任存储。

   $ keytool -import -alias broker -keystore ~/client.ts -file ~/broker_cert.pem

4. 以管理员身份登录 OpenShift Container Platform。例如：

   $ oc login -u system:admin

5. 切换到包含代理部署的项目。例如：

   $ oc project my-openshift-project

6. 创建用于存储 TLS 凭据的机密。例如：

   $ oc create secret generic my-tls-secret \
   --from-file=broker.ks=~/broker.ks \
   --from-file=client.ts=~/broker.ks \
   --from-literal=keyStorePassword=<password> \
   --from-literal=trustStorePassword=<password>

   注意

   在生成机密时，OpenShift 要求您同时指定密钥存储和信任存储。信任存储密钥通常命名为 client.ts。对于代理和客户端之间的单向 TLS，实际上不需要信任存储。但是，若要成功生成 secret，您需要将 一些 有效的存储文件指定为 client.ts 的值。上一步通过重复使用之前生成的代理密钥文件，为 client.ts 提供 "dummy" 值。这足以生成带有单向 TLS 所需的所有凭证的 secret。

7. 将 secret 链接到安装 Operator 时创建的服务帐户。例如：

   $ oc secrets link sa/amq-broker-operator secret/my-tls-secret

8. 在安全接受或连接器的 sslSecret 参数中指定 secret 名称。例如：

   spec:
   ...
     acceptors:
     - name: my-acceptor
       protocols: amqp,openwire
       port: 5672
       sslEnabled: true
       sslSecret: my-tls-secret
       expose: true
       connectionsAllowed: 5
   ...