4.7.2.2. 配置单向 TLS

流程

1. 为代理密钥存储生成自签名证书。

   $ keytool -genkey -alias broker -keyalg RSA -keystore ~/broker.ks

2. 从代理密钥存储导出证书，以便与客户端共享证书。以 Base64 编码 .pem 格式导出证书。例如：

   $ keytool -export -alias broker -keystore ~/broker.ks -file ~/broker_cert.pem

3. 在客户端上，创建一个导入代理证书的客户端信任存储。

   $ keytool -import -alias broker -keystore ~/client.ts -file ~/broker_cert.pem

4. 以管理员身份登录 OpenShift 容器平台。例如：

   $ oc login -u system:admin

5. 切换到包含代理部署的项目。例如：

   $ oc project <my_openshift_project>

6. 创建用于存储 TLS 凭据的机密。例如：

   $ oc create secret generic my-tls-secret \
   --from-file=broker.ks=~/broker.ks \
   --from-file=client.ts=~/broker.ks \
   --from-literal=keyStorePassword=<password> \
   --from-literal=trustStorePassword=<password>

   注意

   在生成机密时，OpenShift 要求您同时指定密钥存储和信任存储。trust store 键通常命名为 client.ts。对于代理和客户端之间的单向 TLS，实际不需要信任存储。但是，若要成功生成 secret，您需要 将一些 有效的存储文件指定为 client.ts 的值。前面的步骤通过重复使用之前生成的代理密钥存储文件为 client.ts 提供"dummy"值。这足以生成含有单向 TLS 所需所有凭证的 secret。

7. 将 secret 链接到您在安装 Operator 时创建的服务帐户。例如：

   $ oc secrets link sa/amq-broker-operator secret/my-tls-secret

8. 在安全接收器或连接器的 sslSecret 参数中指定 secret 名称。例如：

   spec:
   ...
     acceptors:
     - name: my-acceptor
       protocols: amqp,openwire
       port: 5672
       sslEnabled: true
       sslSecret: my-tls-secret
       expose: true
       connectionsAllowed: 5
   ...