第 2 章 Red Hat Quay 和 SQL 之间的基于证书的身份验证

流程

1. 在为您的 CloudSQL 数据库生成 CA 和 SSL/TLS 证书和密钥后，并确保它们采用 .pem 格式，测试到 CloudSQL 服务器的 SSL 连接：

   1. 输入以下命令启动到 CloudSQL 服务器的连接：

      $ psql "sslmode=verify-ca sslrootcert=<ssl_server_certificate_authority>.pem sslcert=<ssl_client_certificate>.pem sslkey=<ssl_client_key>.pem hostaddr=<database_host> port=<5432> user=<cloudsql_username> dbname=<cloudsql_database_name>"

2. 在 Red Hat Quay 目录中，运行以下命令来创建一个新的 YAML 文件，如 quay-config-bundle.yaml ：

   $ touch quay-config-bundle.yaml

3. 输入以下命令来创建 postgresql-client-certs 资源：

   $ oc -n <quay_namespace> create secret generic postgresql-client-certs \
   --from-file config.yaml=<path/to/config.yaml> 1
   --from-file=tls.crt=<path/to/ssl_client_certificate.pem> 2
   --from-file=tls.key=<path/to/ssl_client_key.pem> 3
   --from-file=ca.crt=<path/to/ssl_server_certificate.pem> 4

   1

   其中' <config.yaml>' 是您的 base64 解码 的 config.yaml 文件。

   2

   其中 ssl_client_certificate.pem 是您的 SSL 证书，格式为 .pem。

   3

   其中 ssl_client_key.pem 是您的 SSL 密钥，格式为 .pem。

   4

   其中 ssl_server_certificate.pem 是您的 SSL root CA，格式为 .pem。

4. 编辑 'quay-config-bundle.yaml 文件，使其包含以下数据库连接设置：

   重要
   • DB_CONNECTION_ARGS 变量中包含的信息，如 sslmode,sslrootcert,sslcert, 和 sslkey 必须与 附加到 DB_URI 变量的信息匹配。不匹配可能会导致连接失败。
   • 您不能指定自定义文件名或路径。sslrootcert、sslcert 和 sslkey 的证书文件路径是硬编码的默认值，并挂载到 Kubernetes secret 中的 Quay pod 中。您必须遵循以下命名约定，否则将导致连接失败。

   DB_CONNECTION_ARGS:
       autorollback: true
       sslmode: verify-ca 1
       sslrootcert: /.postgresql/root.crt 2
       sslcert: /.postgresql/postgresql.crt 3
       sslkey: /.postgresql/postgresql.key 4
       threadlocals: true 5
   DB_URI: postgresql://<dbusername>:<dbpassword>@<database_host>:<port>/<database_name>?sslmode=verify-full&sslrootcert=/.postgresql/root.crt&sslcert=/.postgresql/postgresql.crt&sslkey=/.postgresql/postgresql.key 6

   1

   使用 verify-ca 可确保数据库连接使用 SSL/TLS，并根据可信 CA 验证服务器证书。这可与可信 CA 和自签名 CA 证书一起使用。但是，此模式不会验证服务器的主机名。如需完整的主机名和证书验证，请使用 verify-full。有关可用选项的更多信息，请参阅 PostgreSQL SSL/TLS 连接参数。

   2

   root.crt 文件包含用来验证与 CloudSQL 数据库的 SSL/TLS 连接的根证书。此文件挂载到来自 Kubernetes secret 的 Quay pod 中。

   3

   postgresql.crt 文件包含用于验证与 CloudSQL 数据库连接的客户端证书。此文件挂载到来自 Kubernetes secret 的 Quay pod 中。

   4

   postgresql.key 文件包含与客户端证书关联的私钥。此文件挂载到来自 Kubernetes secret 的 Quay pod 中。

   5

   为连接启用自动滚动。

   6

   访问 CloudSQL 数据库的 URI。必须使用 sslmode 类型、root.crt、postgresql.crt 和 postgresql.key 文件附加。DB_URI 中包含的 SSL/TLS 信息必须与 DB_CONNECTION_ARGS 中提供的信息匹配。如果使用 CloudSQL，则必须在此变量中包含数据库用户名和密码。

5. 输入以下命令来创建 configBundleSecret 资源：

   $ oc create -n <namespace> -f quay-config-bundle.yaml

   输出示例

   secret/quay-config-bundle created

6. 输入以下命令更新 QuayRegistry YAML 文件来引用 quay-config-bundle 对象：

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"quay-config-bundle"}}'

   输出示例

   quayregistry.quay.redhat.com/example-registry patched

7. 输入以下命令来确保 QuayRegistry YAML 文件已更新为使用额外的 CA 证书 configBundleSecret 资源：

   $ oc get quayregistry <registry_name> -n <namespace> -o yaml

   输出示例

   # ...
     configBundleSecret: quay-config-bundle
   # ...