11.3. 证书续订和有效期周期

集群 CA 和客户端 CA 证书仅在有限时间内有效，称为有效期。这通常定义为生成证书起的天数。

对于 Cluster Operator 自动创建的 CA 证书，您可以配置以下有效期：

两个证书的默认有效期为 365 天。手动安装的 CA 证书应该定义自己的有效期。

当 CA 证书过期时，仍信任该证书的组件和客户端将不接受来自证书由 CA 私钥签名的对等点的 TLS 连接。组件和客户端需要信任 新的 CA 证书。

为了能在不丢失服务的情况下续订 CA 证书，Cluster Operator 将在旧 CA 证书过期前启动证书续订。

您可以配置 Cluster Operator 创建的证书的续订周期：

两个证书的默认续订期限为 30 天。

从当前证书的到期日期起，续订期向后测量。

Not Before                                     Not After
    |                                              |
    |<--------------- validityDays --------------->|
                              <--- renewalDays --->|

要在创建 Kafka 集群后更改有效期和续订周期，您需要配置并应用 Kafka 自定义资源，并 手动更新 CA 证书。如果您不手动续订证书，在下次自动更新证书时将使用新的句点。

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
# ...
spec:
# ...
  clusterCa:
    renewalDays: 30
    validityDays: 365
    generateCertificateAuthority: true
  clientsCa:
    renewalDays: 30
    validityDays: 365
    generateCertificateAuthority: true
# ...

在续订期间，Cluster Operator 的行为取决于证书生成属性的设置、generate Authority 和 generateCertificateAuthority。