7.2. 配置 TLS 安全配置集

流程

1. 在 /etc/microshift/ 目录中生成提供的 config.yaml.default 文件的副本，将它重命名为 config.yaml。

2. 将新的 MicroShift config.yaml 保留在 /etc/microshift/ 目录中。MicroShift 服务每次启动时都会读取 config.yaml 文件。

   注意

   创建后，config.yaml 文件优先于内置设置。

3. 可选：如果使用现有的 MicroShift YAML，请使用配置片断。如需更多信息，请参阅附加资源部分中的"使用配置片断"。

4. 将 MicroShift YAML 的 tls 部分中的默认值替换为您的有效值。

   TLS 1.2 配置示例

   apiServer:
   # ...
     tls:
       cipherSuites: 

   1

   
       - <cipher_suite_1> 

   2

   
       - ...
       minVersion: VersionTLS12 

   3

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   默认为配置的 minVersion 的套件。如果没有配置 minVersion，则默认值为 TLS 1.2。

   2

   从支持的密码套件列表中指定要使用的密码套件。如果没有配置此列表，则会使用所有支持的密码套件。连接到 API 服务器的所有客户端都必须支持配置的密码套件，或者连接在 TLS 握手阶段会失败。务必将 CA 证书捆绑包添加到 TLS 客户端或服务器信任的 CA 证书列表中。

   3

   指定 VersionTLS12 或 VersionTLS13。

   重要

   当您选择 TLS 1.3 作为最小 TLS 版本时，只能使用默认的 MicroShift 密码套件。额外的密码套件不可配置。如果配置了用于 TLS 1.3 的其他密码套件，则这些套件将被忽略，并被 MicroShift 默认值覆盖。

5. 运行以下命令完成任何其他额外配置，然后运行以下命令来重启 MicroShift：

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap