10.3. 证书续订有效期

1. 生成新的 CA 证书，但保留现有的密钥。

   新证书将旧证书替换为对应 Secret 中的名称 ca.crt。

2. 生成新客户端证书（用于 ZooKeeper 节点、Kafka 代理和实体 Operator）。

   这并非绝对必要，因为签名密钥没有更改，但它会使客户端证书的有效性期与 CA 证书保持同步。

3. 重启 ZooKeeper 节点，以便它们信任新的 CA 证书并使用新的客户端证书。
4. 重启 Kafka 代理，以便它们信任新的 CA 证书并使用新的客户端证书。

5. 重启主题和用户 Operator，以便他们信任新的 CA 证书并使用新的客户端证书。

   用户证书由客户端 CA 签名。用户 Operator 生成的用户证书会在客户端 CA 被续订时续订。

流程

1. 将 strimzi.io/force-renew 注解应用到包含您要续订的 CA 证书的 Secret。

   Expand

   表 10.13. 强制续订证书的 Secret 注解

   证书	Secret	annotate 命令
   集群 CA	KAFKA-CLUSTER-NAME-cluster-ca-cert	oc annotate secret KAFKA-CLUSTER-NAME-cluster-ca-cert strimzi.io/force-renew=true
   客户端 CA	KAFKA-CLUSTER-NAME-clients-ca-cert	oc annotate secret KAFKA-CLUSTER-NAME-clients-ca-cert strimzi.io/force-renew=true

   Show more

   在下一次协调时，Cluster Operator 会为您注解的 Secret 生成新的 CA 证书。如果配置了维护时间窗口，Cluster Operator 会在下一次维护时间窗口首次协调时生成新的 CA 证书。

   客户端应用程序必须重新载入 Cluster Operator 续订的集群和客户端 CA 证书。

2. 检查 CA 证书的期间：

   例如，使用 openssl 命令：

   oc get secret CA-CERTIFICATE-SECRET -o 'jsonpath={.data.CA-CERTIFICATE}' | base64 -d | openssl x509 -subject -issuer -startdate -enddate -noout

   Copy to Clipboard Toggle word wrap

   CA-CERTIFICATE-SECRET 是 Secret 的名称，即 KAFKA-CLUSTER-NAME-cluster-ca-cert，用于集群 CA 证书和 KAFKA-CLUSTER-NAME-clients-ca-cert。

   CA-CERTIFICATE 是 CA 证书的名称，如 jsonpath={.data.ca\.crt}。

   该命令返回一个 notBefore 和 notAfter 日期，这是 CA 证书的有效性周期。

   例如，对于集群 CA 证书：

   subject=O = io.strimzi, CN = cluster-ca v0
   issuer=O = io.strimzi, CN = cluster-ca v0
   notBefore=Jun 30 09:43:54 2020 GMT
   notAfter=Jun 30 09:43:54 2021 GMT

   Copy to Clipboard Toggle word wrap

3. 从 Secret 中删除旧证书。

   当组件使用新证书时，旧的证书可能仍在激活。删除旧的证书以移除任何潜在的安全风险。