16.3. 证书续订和有效期

1. 生成新的 CA 证书，但保留现有的密钥。

   新证书将旧证书替换为对应 Secret 中的名称 ca.crt。

2. 生成新的客户端证书（用于 ZooKeeper 节点、Kafka 代理和 Entity Operator）。

   这不是必要的，因为签名密钥没有改变，而是保留客户端证书的有效性周期与 CA 证书同步。

3. 重启 ZooKeeper 节点，以便它们信任新的 CA 证书并使用新的客户端证书。
4. 重启 Kafka 代理，以便它们信任新的 CA 证书并使用新的客户端证书。

5. 重启主题和用户 Operator，以便它们信任新的 CA 证书并使用新的客户端证书。

   用户证书由客户端 CA 签名。当客户端 CA 续订时，由 User Operator 生成的用户证书会被续订。

流程

1. 将 strimzi.io/force-renew 注解应用到包含您要续订的 CA 证书的 secret。

   续订集群 CA secret

   oc annotate secret my-cluster-cluster-ca-cert -n my-project strimzi.io/force-renew="true"

   续订客户端 CA secret

   oc annotate secret my-cluster-clients-ca-cert -n my-project strimzi.io/force-renew="true"

2. 在下一个协调时，Cluster Operator 会生成新证书。

   如果配置了维护时间窗，Cluster Operator 会在下一次维护时间窗内第一次协调时生成新的 CA 证书。

3. 检查新 CA 证书的有效性周期。

   检查新集群 CA 证书的有效性周期

   oc get secret my-cluster-cluster-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   检查新客户端 CA 证书的有效性周期

   oc get secret my-cluster-clients-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   该命令返回一个 notBefore 和 notAfter date，这是 CA 证书的有效开始和结束日期。

4. 更新客户端配置以信任新的集群 CA 证书。

   请参阅：

   • 第 16.4 节 “配置内部客户端以信任集群 CA”
   • 第 16.5 节 “配置外部客户端以信任集群 CA”

流程

1. 删除包含过期 CA 证书的 secret。

   删除 Cluster CA secret

   oc delete secret my-cluster-cluster-ca-cert -n my-project

   删除 Clients CA secret

   oc delete secret my-cluster-clients-ca-cert -n my-project

2. 等待 Cluster Operator 生成新证书。

   • 新的 CA 集群证书以验证 Kafka 代理的身份在相同名称的 secret 中创建了(my-cluster-cluster-ca-cert)。
   • 在相同名称的 secret 中创建了用于验证 Kafka 用户身份的新 CA 客户端证书(my-cluster-clients-ca-cert)。

3. 检查新 CA 证书的有效性周期。

   检查新集群 CA 证书的有效性周期

   oc get secret my-cluster-cluster-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   检查新客户端 CA 证书的有效性周期

   oc get secret my-cluster-clients-ca-cert -n my-project -o=jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -noout -dates

   该命令返回一个 notBefore 和 notAfter date，这是 CA 证书的有效开始和结束日期。

4. 删除使用 CA 证书的组件 pod 和 secret。

   1. 删除 ZooKeeper secret。
   2. 等待 Cluster Operator 检测缺少的 ZooKeeper secret 并重新创建它。
   3. 删除所有 ZooKeeper pod。
   4. 删除 Kafka secret。
   5. 等待 Cluster Operator 检测缺少的 Kafka secret 并重新创建它。
   6. 删除所有 Kafka pod。

   如果您只恢复客户端 CA 证书，则只需要删除 Kafka secret 和 pod。

   您可以使用以下 oc 命令查找资源，并验证它是否已被删除。

   oc get <resource_type> --all-namespaces | grep <kafka_cluster_name>

   将 <resource_type > 替换为资源的类型，如 Pod 或 Secret。

5. 等待 Cluster Operator 检测缺少的 Kafka 和 ZooKeeper pod，并使用更新的 CA 证书重新创建它们。

   在协调时，Cluster Operator 会自动更新其他组件以信任新的 CA 证书。

6. 验证 Cluster Operator 日志中没有与证书验证相关的问题。

7. 更新客户端配置以信任新的集群 CA 证书。

   请参阅：

   • 第 16.4 节 “配置内部客户端以信任集群 CA”
   • 第 16.5 节 “配置外部客户端以信任集群 CA”