9.3. 证书续订和有效期

1. 生成一个新的 CA 证书，但保留现有的密钥。

   新证书将旧证书替换为对应 Secret 中的名称 ca.crt。

2. 生成新的客户端证书（用于 ZooKeeper 节点、Kafka 代理和实体 Operator）。

   这并不严格是必需的，因为签名密钥没有改变，但它保留客户端证书的有效性周期与 CA 证书同步。

3. 重启 ZooKeeper 节点，以便它们信任新的 CA 证书并使用新的客户端证书。
4. 重启 Kafka 代理，以便它们信任新的 CA 证书并使用新的客户端证书。

5. 重启主题和用户 Operator，以便它们信任新的 CA 证书并使用新的客户端证书。

   用户证书由客户端 CA 签名。用户 Operator 生成的用户证书会在客户端 CA 续订时续订。

流程

1. 将 strimzi.io/force-renew 注解应用到包含您要更新的 CA 证书的 Secret。

   Expand

   表 9.13. 强制续订证书的 Secret 的注解

   证书	Secret	注解命令
   集群 CA	KAFKA-CLUSTER-NAME-cluster-ca-cert	oc annotate secret KAFKA-CLUSTER-NAME-cluster-ca-cert strimzi.io/force-renew=true
   客户端 CA	KAFKA-CLUSTER-NAME-clients-ca-cert	oc annotate secret KAFKA-CLUSTER-NAME-clients-ca-cert strimzi.io/force-renew=true

   Show more

   在下一次协调时，Cluster Operator 将为您注解的 Secret 生成一个新的 CA 证书。如果配置了维护时间窗，Cluster Operator 将在下次维护时间窗内第一次协调时生成新的 CA 证书。

   客户端应用程序必须重新加载 Cluster Operator 更新的集群和客户端 CA 证书。

2. 检查 CA 证书有效的周期：

   例如，使用 openssl 命令：

   oc get secret CA-CERTIFICATE-SECRET -o 'jsonpath={.data.CA-CERTIFICATE}' | base64 -d | openssl x509 -subject -issuer -startdate -enddate -noout

   CA-CERTIFICATE-SECRET 是 Secret 的名称，对于集群 CA 证书是 KAFKA-CLUSTER-NAME-cluster-ca-cert，对于客户端 CA 证书是 KAFKA-CLUSTER-NAME-clients-ca-cert。

   ca -CERTIFICATE 是 CA 证书的名称，如 jsonpath={.data.ca\.crt}。

   该命令返回一个 notBefore 和 notAfter 日期，这是 CA 证书的有效性周期。

   例如，对于集群 CA 证书：

   subject=O = io.strimzi, CN = cluster-ca v0
   issuer=O = io.strimzi, CN = cluster-ca v0
   notBefore=Jun 30 09:43:54 2020 GMT
   notAfter=Jun 30 09:43:54 2021 GMT

3. 从 Secret 中删除旧证书。

   当组件正在使用新证书时，旧的证书可能仍然处于活动状态。删除旧证书以移除任何潜在的安全风险。