红帽全球峰会4.5. 配置证书轮转
配置证书轮转参数以替换现有证书。
4.5.1. 配置证书轮转
您可以在 web 控制台中的 OpenShift Virtualization 安装过程中，或者在安装 HyperConverged 自定义资源（CR）后完成此操作。
流程
运行以下命令打开
HyperConvergedCR：$ oc edit hyperconverged kubevirt-hyperconverged -n openshift-cnv
按照以下示例所示，编辑
spec.certConfig字段。要避免系统过载，请确保所有值都大于或等于 10 分钟。将所有值显示为符合 golangParseDuration格式的字符串。apiVersion: hco.kubevirt.io/v1beta1 kind: HyperConverged metadata: name: kubevirt-hyperconverged namespace: openshift-cnv spec: certConfig: ca: duration: 48h0m0s renewBefore: 24h0m0s 1 server: duration: 24h0m0s 2 renewBefore: 12h0m0s 3- 将 YAML 文件应用到集群。
4.5.2. 证书轮转参数故障排除
删除一个或多个 certConfig 值会导致它们恢复到默认值，除非默认值与以下条件之一冲突：
-
ca.renewBefore的值必须小于或等于ca.duration的值。 -
server.duration的值必须小于或等于ca.duration的值。 -
server.renewBefore的值必须小于或等于server.duration的值。
如果默认值与这些条件冲突，您将收到错误。
如果您删除了以下示例中的 server.duration 值，则默认值 24h0m0s 大于 ca.duration 的值，并与指定条件冲突。
Example
certConfig:
ca:
duration: 4h0m0s
renewBefore: 1h0m0s
server:
duration: 4h0m0s
renewBefore: 4h0m0s
这会生成以下出错信息：
error: hyperconvergeds.hco.kubevirt.io "kubevirt-hyperconverged" could not be patched: admission webhook "validate-hco.kubevirt.io" denied the request: spec.certConfig: ca.duration is smaller than server.duration
错误消息仅提及第一个冲突。在继续操作前，查看所有 certConfig 值。
