Отзыв SSL-сертификата при взаимной аутентификации TLS - PullRequest
Новая
       46

Отзыв SSL-сертификата при взаимной аутентификации TLS

1 голос
/ 29 мая 2019

Я пытаюсь включить взаимную аутентификацию на основе TLS для приложения, развернутого в кластере Kubernetes.

Варианты использования:

  1. Хотите ограничить доступ к нашему приложению только тем пользователям, которым доверен клиентский сертификат.
  2. Исходя из определенных ситуаций / условий, я также хотел бы отозвать сертификат определенного пользователя, чтобы пользователь больше не мог получить доступ к приложению со своим сертификатом.

Я попытался настроить Mutual TLS на входном контроллере kuberentes (на основе nginx), добавив следующие аннотации. 

    nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
    nginx.ingress.kubernetes.io/auth-tls-secret: "ca-cert"

ca-cert - это секрет kubernetes, содержащий сертификат CA, используемый для выдачи клиентских сертификатов. Таким образом, вход проверяет сертификат клиента, отправленный как часть запроса, против ca-cert.

Это очень хорошо работает для любых клиентских сертификатов, подписанных ca-cert. Я пытаюсь найти решение для процесса отзыва сертификата. Нужен совет по этому поводу.

Можно ли доверять отдельному сертификату клиента вместо сертификата CA во входе? Это поможет нам отозвать сертификаты отдельных клиентов.

1 Ответ

0 голосов
/ 24 июля 2019

Если я вас правильно понимаю, вам нужно использовать Nginx Certificate Revocation List. Это должно быть сделано с использованием стандартной конфигурации Nginx (создать в стандартном формате, добавить в файл, обновить файл из Ingress). Вот больше подробностей / учебных пособий относительно этого.

Пожалуйста, дайте мне знать, если это помогло.

...