4.12. 为客户端连接配置基于 Operator 的代理部署

流程

1. 编辑用于代理部署的 ActiveMQArtemis 自定义资源(CR)。

2. 使用 resourceTemplates 属性来注解为接收器创建的服务。例如：

   spec:
     ...
     resourceTemplates:
       - selector:
           kind: Service
           name: amq-broker-myacceptor-0-svc
         annotations:
           service.beta.openshift.io/serving-cert-secret-name: myacceptor-ptls
     ...

   Copy to Clipboard Toggle word wrap

   resourceTemplates.selector.kind

   指定自定义应用到的资源类型是 Service。

   resourceTemplates.selector.name

   指定要应用注解的服务名称。acceptor 服务的名称格式为： < CR name><acceptor name><ordinal>-svc，其中：

   • <CR name> name 是 CR 中的 metadata.name 属性的值。
   • <acceptor name> 是接受者的名称。示例假定接受者的名称为 myacceptor。
   • <ordinal> 是 StatefulSet 分配给代理 pod 的普通号。

   resourceTemplates.annotations

   指定 service.beta.openshift.io/serving-cert-secret-name: <secret&gt; 的注解，其中&lt; secret > 是 Openshift 为服务创建的 secret 的名称。

   注意

   secret 名称必须与 acceptor 名称匹配，并且具有 -ptls 后缀。需要特定的后缀，以允许 Operator 在创建 secret 前部署 CR。

3. 在 CR 中的 sslSecret' 属性中，指定包含代理证书的 secret。例如：

   spec:
     acceptors:
       - name: myacceptor
         protocols: CORE
         port: 61626
         sslEnabled: true
         sslSecret: myacceptor-ptls

   Copy to Clipboard Toggle word wrap

4. 在 brokerProperties 属性中，将代理配置为在每次在 Openshift 中续订证书时自动加载新证书。例如：

   spec:
     ...
     brokerProperties
     - "acceptorConfigurations.myacceptor.params.sslAutoReload=true"
      ...

   Copy to Clipboard Toggle word wrap
5. 将服务用证书的公钥添加到每个客户端的信任存储中。

6. 如果要在代理和客户端之间配置 mTLS 身份验证，请完成以下步骤。

   1. 创建一个信任捆绑包，其中包含您希望代理信任的每个客户端证书，并将信任捆绑包添加到 secret 中，例如trusted-clients-bundle。

   2. 在代理 CR 中配置的 acceptors 中，添加 needClientAuth 属性，并设置为 true 以要求客户端身份验证。例如：

      spec:
        ..
        acceptors:
          - name: myacceptor
            protocols: all
            port: 62666
            sslEnabled: true
            sslSecret: myacceptor-ptls
            needClientAuth: true
        ..

      Copy to Clipboard Toggle word wrap

   3. 在每个 acceptor 的 trustSecret 属性中，指定包含客户端证书信任捆绑包的 secret。例如：

      spec:
        ..
        acceptors:
          - name: new-acceptor
            protocols: all
            port: 62666
            sslEnabled: true
            sslSecret: myacceptor-ptls
            needClientAuth: true
            trustSecret: trusted-clients-bundle
        ..

      Copy to Clipboard Toggle word wrap
7. 保存 CR。

流程

1. 创建一个 YAML 文件，如 self-signed-issuer.yaml，该文件定义 root 自签名签发者。签发者( issuer)是一个 Openshift 资源，它代表证书颁发机构(CA)，它可以通过遵循证书签名请求来生成签名证书。

   以下示例 yaml 创建一个自签名签发者，然后使用该签发者创建证书颁发机构(CA)证书。您的 CA 证书可由 cert-manager Operator 管理。

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: root-issuer
   spec:
     selfSigned: {}

   Copy to Clipboard Toggle word wrap

2. 创建一个 YAML 文件，如 root-ca.yaml，用于定义 root CA 证书。

   在 issuerRef.name 字段中，指定您创建的自签名签发者( root-issuer )的名称。例如：

   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: root-ca
     namespace: cert-manager
   spec:
     isCA: true
     commonName: "amq.io.root"
     secretName: root-ca-secret
     subject:
       organizations:
       - "www.amq.io"
     issuerRef:
       name: root-issuer
       kind: ClusterIssuer

   Copy to Clipboard Toggle word wrap

   证书以 Privacy Enhanced Mail (PEM)格式创建，格式为 root-ca-secret。

3. 创建一个 YAML 文件，如 root-ca-issuer.yaml，该文件定义了发布由 root CA 签名的证书的 CA 签发者。例如：

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: root-ca-issuer
   spec:
     ca:
       secretName: root-ca-secret

   Copy to Clipboard Toggle word wrap

4. 创建定义代理证书的 YAML 文件，如 broker-cert.yaml。

   在 issuerRef.Name 字段中，指定您创建用来发布由 root CA 签名的证书的签发者名称 root-ca-issuer。例如：

   apiVersion: cert-manager.io/v1
   kind: Certificate
   Metadata:
    name: broker-cert
   spec:
    isCA: false
    commonName: “amq.io”
    dnsNames:
      - “amq-broker-ss-0.amq-broker-svc-rte-default.cluster.local
      - “amq-broker-ss-1.amq-broker-svc-rte-default.cluster.local
    secretName: broker-cert-secret
    subject:
      organizations:
      - “www.amq.io”
    issuerRef:
      name: root-ca-issuer
      kind: ClusterIssuer

   Copy to Clipboard Toggle word wrap

5. 部署您在 YAML 文件中为签发者和证书定义的自定义资源，以创建对应的 OpenShift 对象。例如：

   $ oc create -f  self-signed-issuer.yaml
   $ oc create -f  root-ca.yaml
   $ oc create -f  root-ca-issuer.yaml
   $ oc create -f  broker-cert.yaml

   Copy to Clipboard Toggle word wrap
6. 编辑用于代理部署的 ActiveMQArtemis CR。

7. 指定在您要保护的每个接受者的 sslSecret 属性中包含代理证书的 secret。例如：

   spec:
     ..
     acceptors:
       - name: new-acceptor
         protocols: all
         port: 62666
         sslEnabled: true
         needClientAuth: false
         sslSecret: broker-cert-secret
     ..

   Copy to Clipboard Toggle word wrap

8. 在 brokerProperties 属性中，将代理配置为在每次为 Openshift 的 cert-manager Operator 更新证书时自动加载接受者的新代理证书。例如：

   spec:
     ...
     brokerProperties
     - "acceptorConfigurations.new-acceptor.params.sslAutoReload=true"
      ...

   Copy to Clipboard Toggle word wrap
9. 向每个客户端的信任存储中添加签名代理证书的 root CA 证书，该证书在本示例过程中创建一个名为 root-ca-secret secret 的 secret 中，以便客户端可以信任代理。

10. 如果要在代理和客户端之间配置 mTLS 身份验证，请完成以下步骤。

    1. 使用 Trust Manager for Kubernetes 创建一个信任捆绑包，其中包含您希望代理信任的每个客户端证书，并将信任捆绑包添加到 secret 中，如trusted-clients-bundle。有关如何创建信任捆绑包的详情，请参考 trust-manager 文档。

    2. 在代理 CR 中配置的 acceptors 中，添加 needClientAuth 属性，并设置为 true 以要求客户端身份验证。例如：

       spec:
         ..
         acceptors:
           - name: new-acceptor
             protocols: all
             port: 62666
             sslEnabled: true
             sslSecret: broker-cert-secret
             needClientAuth: true
         ..

       Copy to Clipboard Toggle word wrap

    3. 在每个 acceptor 的 trustSecret 属性中，指定包含客户端证书信任捆绑包的 secret。例如：

       spec:
         ..
         acceptors:
           - name: new-acceptor
             protocols: all
             port: 62666
             sslEnabled: true
             sslSecret: broker-cert-secret
             needClientAuth: true
             trustSecret: trusted-clients-bundle
         ..

       Copy to Clipboard Toggle word wrap
11. 保存 CR。