第 11 章 管理 TLS 证书

流程

1. 将您的 CA 证书放在对应的 Secret 中。

   1. 删除现有的 secret：

      oc delete secret CA-CERTIFICATE-SECRET

      ca-CERTIFICATE-SECRET 是 Secret 的名称，它是集群 CA 证书的CLUSTER-NAME-cluster-ca-cert，用于客户端 CA 证书的 CLUSTER-NAME-clients-ca-cert。

      忽略任何"Not Exists"错误。

   2. 创建并标记新 secret

      oc create secret generic CA-CERTIFICATE-SECRET --from-file=ca.crt=CA-CERTIFICATE-FILENAME

2. 将您的 CA 密钥放在对应的 Secret 中。

   1. 删除现有的 secret：

      oc delete secret CA-KEY-SECRET

      ca-KEY-SECRET 是 CA 密钥的名称，这是 用于集群 CA 密钥的 CLUSTER-NAME -cluster-ca， 用于客户端 CA 密钥。

   2. 创建新 secret：

      oc create secret generic CA-KEY-SECRET --from-file=ca.key=CA-KEY-SECRET-FILENAME

3. 使用 labels strimzi.io/kind=Kafka 和 strimzi.io/cluster=CLUSTER-NAME 标记 secret：

   oc label secret CA-CERTIFICATE-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME
   oc label secret CA-KEY-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME

4. 为集群创建 Kafka 资源，将 Kafka.spec.clusterCa 或 Kafka.spec.clientsCa 对象 配置为不使用 生成的 CA：

   将集群 CA 配置为使用您自己提供的证书的片段 Kafka 资源示例

   kind: Kafka
   version: kafka.strimzi.io/v1beta2
   spec:
     # ...
     clusterCa:
       generateCertificateAuthority: false