CSR при подключении существующего CA к Istio - PullRequest
Новая
       3

CSR при подключении существующего CA к Istio

0 голосов
/ 24 марта 2020

Я смотрю на «подключение существующего ЦС» к моей среде Istio, как описано здесь:

https://istio.io/pt-br/docs/tasks/security/citadel-config/plugin-ca-cert/

Я вижу, что следующее Команда позволяет вам хранить ключи, сертификаты и цепочки в секретах Kubernetes, однако она не обеспечивает возможность создания CSR. Очевидно, что это также потребует сначала генерации закрытого ключа.

Это правильно, или есть возможность сделать это? 

$ kubectl create secret generic cacerts -n istio-system --from-file=samples/certs/ca-cert.pem \
    --from-file=samples/certs/ca-key.pem --from-file=samples/certs/root-cert.pem \
    --from-file=samples/certs/cert-chain.pem

1 Ответ

0 голосов
/ 24 марта 2020

Указанная вами команда позволяет вам создать secret объект в кубернетах для CA сертификата, ключа, цепочки и т. Д. c. Которые могут быть использованы развертываниями и службами для использования. Таким образом, в документации предполагается, что у вас уже есть сертификат, готовый к использованию.

Я предлагаю следующую полную конфигурацию защищенного шлюза istio SDS guide .

Для создания закрытый ключ и CSR с использованием OpenSSL следуйте istio руководству по документации:

Для этой задачи вы можете использовать свой любимый инструмент для генерации сертификатов и ключей. В приведенных ниже командах используется openssl. Создайте сертификат root и закрытый ключ для подписи сертификатов для ваших служб: 

$ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -subj '/O=example Inc./CN=example.com' -keyout example.com.key -out example.com.crt

Создайте сертификат и закрытый ключ для httpbin.example.com:

$ openssl req -out httpbin.example.com.csr -newkey rsa:2048 -nodes -keyout httpbin.example.com.key -subj "/CN=httpbin.example.com/O=httpbin organization"
$ openssl x509 -req -days 365 -CA example.com.crt -CAkey example.com.key -set_serial 0 -in httpbin.example.com.csr -out httpbin.example.com.crt

Дополнительная информация из документации istio: https://istio.io/docs/concepts/security/#pki

Надеюсь, это поможет.

...