4.12. 为客户端连接配置基于 Operator 的代理部署

流程

1. 编辑用于代理部署的 ActiveMQArtemis 自定义资源(CR)。

2. 使用 resourceTemplates 属性来注解为 acceptor 创建的服务。例如：

   spec:
     ...
     resourceTemplates:
       - selector:
           kind: Service
           name: amq-broker-myacceptor-0-svc
         annotations:
           service.beta.openshift.io/serving-cert-secret-name: myacceptor-ptls
     ...

   Copy to Clipboard Toggle word wrap

   resourceTemplates.selector.kind

   指定自定义应用到的资源类型是 Service。

   resourceTemplates.selector.name

   指定要应用注解的服务名称。acceptor 服务的名称格式为： < CR name><acceptor name><ordinal>-svc，其中：

   • <CR name> name 是 CR 中的 metadata.name 属性的值。
   • <acceptor name> 是 acceptor 的名称。示例假定 acceptor 的名称是 myacceptor。
   • <ordinal> 是 StatefulSet 分配给代理 pod 的 ordinal 号。

   resourceTemplates.annotations

   指定 service.beta.openshift.io/serving-cert-secret-name: <secret&gt;，其中&lt; secret > 是 Openshift 为服务创建的 secret 的名称。

   注意

   secret 名称必须与 acceptor 名称匹配，并且具有 a -ptls 后缀。需要特定的后缀来允许 Operator 在创建 secret 前部署 CR。

3. 在 CR 中的 sslSecret' 属性中，指定包含代理证书的 secret。例如：

   spec:
     acceptors:
       - name: myacceptor
         protocols: CORE
         port: 61626
         sslEnabled: true
         sslSecret: myacceptor-ptls

   Copy to Clipboard Toggle word wrap

4. 在 brokerProperties 属性中，将代理配置为在每次证书在 Openshift 中续订时自动加载新证书。例如：

   spec:
     ...
     brokerProperties
     - "acceptorConfigurations.myacceptor.params.sslAutoReload=true"
      ...

   Copy to Clipboard Toggle word wrap
5. 将服务用证书的公钥添加到每个客户端的信任存储中。

6. 如果要在代理和客户端之间配置 mTLS 身份验证，请完成以下步骤。

   1. 创建一个信任捆绑包，其中包含您希望代理信任的每个客户端的证书，并将信任捆绑包添加到 secret 中，如trusted-clients-bundle。

   2. 在代理 CR 中配置的 acceptors 中，添加 needClientAuth 属性，并设置为 true 以要求客户端身份验证。例如：

      spec:
        ..
        acceptors:
          - name: myacceptor
            protocols: all
            port: 62666
            sslEnabled: true
            sslSecret: myacceptor-ptls
            needClientAuth: true
        ..

      Copy to Clipboard Toggle word wrap

   3. 在每个 acceptor 的 trustSecret 属性中，指定包含客户端证书信任捆绑包的 secret。例如：

      spec:
        ..
        acceptors:
          - name: new-acceptor
            protocols: all
            port: 62666
            sslEnabled: true
            sslSecret: myacceptor-ptls
            needClientAuth: true
            trustSecret: trusted-clients-bundle
        ..

      Copy to Clipboard Toggle word wrap
7. 保存 CR。

流程

1. 创建一个 YAML 文件，如 self-signed-issuer.yaml，该文件定义了 root 自签名签发者。签发者（签发者）是一个 Openshift 资源，它代表证书颁发机构(CA)，它可以通过遵循证书签名请求来生成签名证书。

   以下示例 yaml 创建一个自签名签发者，然后您可以使用它来创建证书颁发机构(CA)证书。您的 CA 证书可由 cert-manager Operator 管理。

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: root-issuer
   spec:
     selfSigned: {}

   Copy to Clipboard Toggle word wrap

2. 创建一个定义 root CA 证书的 YAML 文件，如 root-ca.yaml。

   在 issuerRef.name 字段中，指定您创建的自签名签发者( root-issuer )的名称。例如：

   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: root-ca
     namespace: cert-manager
   spec:
     isCA: true
     commonName: "amq.io.root"
     secretName: root-ca-secret
     subject:
       organizations:
       - "www.amq.io"
     issuerRef:
       name: root-issuer
       kind: ClusterIssuer

   Copy to Clipboard Toggle word wrap

   证书以 Privacy Enhanced Mail (PEM)格式创建，使用名为 root-ca-secret 的 secret。

3. 创建一个 YAML 文件，如 root-ca-issuer.yaml，该文件定义了一个 CA 签发者来发布由 root CA 签名的证书。例如：

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: root-ca-issuer
   spec:
     ca:
       secretName: root-ca-secret

   Copy to Clipboard Toggle word wrap

4. 创建定义代理证书的 YAML 文件，如 broker-cert.yaml。

   在 issuerRef.Name 字段中，指定签发者( root-ca-issuer )的名称，用来发布由 root CA 签名的证书。例如：

   apiVersion: cert-manager.io/v1
   kind: Certificate
   Metadata:
    name: broker-cert
   spec:
    isCA: false
    commonName: “amq.io”
    dnsNames:
      - “amq-broker-ss-0.amq-broker-svc-rte-default.cluster.local
      - “amq-broker-ss-1.amq-broker-svc-rte-default.cluster.local
    secretName: broker-cert-secret
    subject:
      organizations:
      - “www.amq.io”
    issuerRef:
      name: root-ca-issuer
      kind: ClusterIssuer

   Copy to Clipboard Toggle word wrap

5. 在 YAML 文件中部署您为签发者和证书定义的自定义资源，以创建对应的 OpenShift 对象。例如：

   $ oc create -f  self-signed-issuer.yaml
   $ oc create -f  root-ca.yaml
   $ oc create -f  root-ca-issuer.yaml
   $ oc create -f  broker-cert.yaml

   Copy to Clipboard Toggle word wrap
6. 编辑 ActiveMQArtemis CR 以进行代理部署。

7. 指定在您要保护的每个 acceptor 的 sslSecret 属性中包含代理证书的 secret。例如：

   spec:
     ..
     acceptors:
       - name: new-acceptor
         protocols: all
         port: 62666
         sslEnabled: true
         needClientAuth: false
         sslSecret: broker-cert-secret
     ..

   Copy to Clipboard Toggle word wrap

8. 在 brokerProperties 属性中，将代理配置为在每次为 Openshift 的 cert-manager Operator 续订证书时自动加载接受者的新代理证书。例如：

   spec:
     ...
     brokerProperties
     - "acceptorConfigurations.new-acceptor.params.sslAutoReload=true"
      ...

   Copy to Clipboard Toggle word wrap
9. 将签名代理证书的 root CA 证书（在本例中名为 root-ca-secret secret 的 secret 中创建）添加到每个客户端的信任存储中，以便客户端可以信任代理。

10. 如果要在代理和客户端之间配置 mTLS 身份验证，请完成以下步骤。

    1. 使用 Trust Manager for Kubernetes 创建一个信任捆绑包，其中包含您要信任的每个客户端的证书，并将信任捆绑包添加到 secret 中，如trusted-clients-bundle。有关如何创建信任捆绑包的详情，请参考 trust-manager 文档。

    2. 在代理 CR 中配置的 acceptors 中，添加 needClientAuth 属性，并设置为 true 以要求客户端身份验证。例如：

       spec:
         ..
         acceptors:
           - name: new-acceptor
             protocols: all
             port: 62666
             sslEnabled: true
             sslSecret: broker-cert-secret
             needClientAuth: true
         ..

       Copy to Clipboard Toggle word wrap

    3. 在每个 acceptor 的 trustSecret 属性中，指定包含客户端证书信任捆绑包的 secret。例如：

       spec:
         ..
         acceptors:
           - name: new-acceptor
             protocols: all
             port: 62666
             sslEnabled: true
             sslSecret: broker-cert-secret
             needClientAuth: true
             trustSecret: trusted-clients-bundle
         ..

       Copy to Clipboard Toggle word wrap
11. 保存 CR。