4.13. 保护集群连接

流程

1. 生成自签名 TLS 证书，并将它添加到密钥存储文件中。

   • 在证书的 Subject Alternative Name (SAN)字段中，指定一个通配符 DNS 名称以匹配集群中的所有代理，如下例所示。该示例基于使用名为 ex-aao 的 CR，该 CR 部署到 测试 命名空间中。

     $ keytool -storetype jks -keystore server-keystore.jks -storepass artemis -keypass artemis -alias server -genkey -keyalg "RSA" -keysize 2048 -dname "CN=AMQ Server, OU=Artemis, O=ActiveMQ, L=AMQ, S=AMQ, C=AMQ" -validity 365 -ext bc=ca:false -ext eku=sA -ext san=dns:*.ex-aao-hdls-svc.test.svc.cluster.local

   • 如果证书不支持使用通配符 DNS 名称，您可以在集群中所有代理 pod 的证书的 SAN 字段中包含以逗号分隔的 DNS 名称列表。例如：

     keytool -storetype jks -keystore server-keystore.jks -storepass artemis -keypass artemis -alias server -genkey -keyalg "RSA" -keysize 2048 -dname "CN=AMQ Server, OU=Artemis, O=ActiveMQ, L=AMQ, S=AMQ, C=AMQ" -validity 365 -ext bc=ca:false -ext eku=sA -ext san=dns:ex-aao-ss-0.ex-aao-hdls-svc.test.svc.cluster.local,dns:ex-aao-ss-1.ex-aao-hdls-svc.test.svc.cluster.local

   • 如果 TLS 证书不支持使用 DNS 名称，您必须在 ActiveMQArtemis CR 中禁用主机验证，如下所述。

2. 从密钥存储文件导出 TLS 证书的公钥，以便它可以导入到信任存储文件中。例如：

   $ keytool -storetype jks -keystore server-keystore.jks -storepass artemis -alias server -exportcert -rfc > server.crt

3. 将 TLS 证书的公钥导入到信任存储文件中，以便集群中的其他代理可以信任证书。例如：

   $ keytool -storetype jks -keystore server-truststore.jks -storepass artemis -keypass artemis -importcert -alias server -file server.crt -noprompt

4. 创建一个机密，以存储密钥存储和信任存储文件及其关联的密码。例如：

   oc create secret generic artemis-ssl-secret --namespace test --from-file=broker.ks=server-keystore.jks --from-file=client.ts=server-truststore.jks --from-literal=keyStorePassword=artemis --from-literal=trustStorePassword=artemis

5. 编辑用于代理部署的 ActiveMQArtemis CR，再添加名为 artemis 的内部接收器。在 artemis acceptor 中，将 sslEnabled 属性设置为 true，并指定您在 sslSecret 属性中创建的 secret 名称。例如：

   spec:
     ..
     deploymentPlan:
       size: 2
     acceptors:
     - name: artemis
       port: 61616
       sslEnabled: true
       sslSecret: artemis-ssl-secret
     ..

6. 为 artemis 连接器启用 SSL，供集群中的每个代理用来连接到集群中的其他代理。使用 brokerProperties 属性启用 SSL，并指定包含 TLS 证书公钥的信任存储文件的路径和凭证。

   spec:
     ..
     deploymentPlan:
       size: 2
     acceptors:
     - name: artemis
       port: 61616
       sslEnabled: true
       sslSecret: artemis-ssl-secret
     brokerProperties:
     - 'connectorConfigurations.artemis.params.sslEnabled=true'
     - 'connectorConfigurations.artemis.params.trustStorePath=/etc/artemis-ssl-secret-volume/client.ts'
     - 'connectorConfigurations.artemis.params.trustStorePassword=artemis'
     ..

   connectorConfigurations.artemis.params.trustStorePath

   这个值必须与信任存储文件的位置匹配，client.ts 在代理 pod 中。secret 中的 truststore 文件和附带的密码文件挂载到每个代理 pod 的 /etc/<secret name>-volume 目录中。上例指定信任存储的位置，该位置位于名为 artemis-ssl-secret 的 secret 中。

7. 如果 TLS 证书不支持使用 DNS 名称，请使用 brokerProperties 属性来禁用主机验证。例如：

   spec:
     ..
     brokerProperties:
     ..
     - 'connectorConfigurations.artemis.params.verifyHost=false'
     ..

8. 保存 CR。