Τα πιστοποιητικά SSL χρησιμοποιούνται για την ασφάλεια της εφαρμογής που έχει δημιουργηθεί στο Kubernetes για μελλοντική ασφάλεια. Ας πάρουμε ένα άλλο ασφαλές πιστοποιητικό, το TLS, που περιέχει ένα πολύ ασφαλές ιδιωτικό κλειδί. Τα πιστοποιητικά δημιουργούνται με πιστοποιητικά: K8r.io API. Θα διδάξουμε για τη διαμόρφωση του πιστοποιητικού SSL με τη βοήθεια λεπτομερών παραδειγμάτων. Ας ξεκινήσουμε με το πιστοποιητικό SSL στο Kubernetes. Τα πιστοποιητικά SSL είναι πολύ σημαντικά για τα προγράμματα περιήγησης. Το πρόγραμμα περιήγησης, με τη βοήθεια πιστοποιητικών SSL και TLS, δημιουργεί μια ασφαλή σύνδεση με τις υπηρεσίες Kubernetes.
Προαπαιτούμενα:
Κάθε χρήστης πρέπει να έχει την πιο πρόσφατη έκδοση του συστήματός του του Ubuntu. Ο χρήστης του λειτουργικού συστήματος Windows εγκαθιστά ένα εικονικό κουτί και προσθέτει εικονικά το Ubuntu ή το Linux στο σύστημα. Οι χρήστες πρέπει να είναι εξοικειωμένοι με το Kubernetes, τη γραμμή εντολών kubectl, τα pods και τα clusters και να γνωρίζουν το Cluster DNS για να κατανοήσουν καλύτερα αυτό το θέμα.
Ας ρίξουμε μια σύντομη ματιά στη διαμόρφωση του πιστοποιητικού SSL στο Kubernetes, χωρίζοντας την όλη διαδικασία σε διαφορετικά βήματα.
Βήμα 1: Ξεκινήστε τον Πίνακα Ελέγχου του Kubernetes
Θέλουμε ένα περιβάλλον στην εφαρμογή μας όπου μπορούμε να εκτελούμε εντολές Kubernetes για να εκτελούμε εργασίες Kubernetes. Ως αποτέλεσμα, η Kubernetes μας παρέχει ένα τοπικό κοντέινερ που ονομάζεται 'minikube'. Σε κάθε έναρξη εφαρμογής Kubernetes, θα ξεκινήσουμε ένα minikube στο Kubernetes, το οποίο είναι βασικά ένα τερματικό, το οποίο απαιτείται για την εκτέλεση εντολών Kubernetes. Σε αυτό το βήμα, εκτελούμε την εντολή για την προετοιμασία του Minikube, η οποία είναι:
> ξεκινήστε το minikube
Όταν εκτελούμε αυτήν την εντολή στο τερματικό του συστήματός μας, η εκτέλεση της εντολής ξεκινά πατώντας το κουμπί enter. Η εντολή μάς εμφανίζει ως επιστροφή ένα αποτέλεσμα στιγμιότυπου οθόνης που επισυνάπτεται παρακάτω.
Βήμα 2: Δημιουργήστε Αίτημα Υπογραφής Πιστοποιητικού
Αφού δημιουργήσουμε ένα σύμπλεγμα χρησιμοποιώντας το Minikube, τώρα θέλουμε να δημιουργήσουμε ένα αίτημα υπογραφής πιστοποιητικού. Σε αντάλλαγμα για αυτήν την ενέργεια, εκτελούμε την εντολή για την υπογραφή του αιτήματος πιστοποιητικού και τη δημιουργία ενός ιδιωτικού κλειδιού.
> Γάτα << ΕΟΦ | cfssl genkey - | cfssljson -μόλις υπηρέτης
Μετά την εκτέλεση του ερωτήματος, το αίτημα δημιουργείται με επιτυχία με το ιδιωτικό κλειδί. Το αποτέλεσμα επισυνάπτεται παραπάνω ως στιγμιότυπο οθόνης.
Βήμα 3: Δημιουργήστε μια δήλωση αίτησης υπογραφής πιστοποιητικού στο Αρχείο YAML
Σε αυτό το βήμα, θα δημιουργήσουμε ένα μανιφέστο αρχείου YAML για τη δημιουργία ενός CSR στο Kubernetes. Εκτελούμε την παρακάτω εντολή:
> Γάτα << ΕΟΦ | ισχύει kubectl -φά –Μετά την εκτέλεση αυτής της εντολής, δημιουργείται με επιτυχία ένα αρχείο YAML. Και το στέλνουμε στον διακομιστή API, όπως φαίνεται στο συνημμένο στιγμιότυπο οθόνης.
Βήμα 4: Λήψη κατάστασης αιτήματος υπογραφής πιστοποιητικού
Σε αυτό το βήμα, θα εξετάσουμε την κατάσταση CSR όπως φαίνεται μέσω του API. Μπορούμε να εκτελέσουμε τη δεδομένη εντολή για να ανακτήσουμε την κατάσταση του αιτήματος πιστοποιητικού.
> kubectl περιγράφει το csv my-svc.my-namespace 
Όταν εκτελείται η εντολή, η κατάσταση CSR εμφανίζεται στην έξοδο, όπως φαίνεται στο συνημμένο στιγμιότυπο οθόνης. Η κατάσταση του CSR είναι 'σε εκκρεμότητα' και αυτή η κατάσταση προέρχεται από το API. Το όνομα του αρχείου είναι my-svc. my-namespace και σχολιασμοί, αιτούμενος χρήστης και θέμα, εναλλακτικά ονόματα θεμάτων που έχουν ονόματα DNS και διευθύνσεις IP, συμβάντα κ.λπ. περιλαμβάνονται στην περιγραφή CSR. Η κατάσταση είναι 'σε εκκρεμότητα', πράγμα που σημαίνει ότι το πιστοποιητικό CSR δεν έχει εγκριθεί ακόμη.
Βήμα 5: Έγκριση Πιστοποιητικών ΕΚΕ
Η κατάσταση του πιστοποιητικού CSR είναι ακόμη σε εκκρεμότητα. Έτσι, σε αυτήν την περίπτωση, θα στείλουμε ένα ερώτημα στο API της Kubernetes για την έγκριση του πιστοποιητικού CSR. Εκτελούμε αυτήν την εντολή για έγκριση:
> Το πιστοποιητικό kubectl εγκρίνει το my-svc .my-namespaceΗ εντολή δείχνει την έξοδο μετά την εκτέλεση. Ένα εξουσιοδοτημένο άτομο, όπως η διοίκηση της Kubernetes, εγκρίνει το πιστοποιητικό ΕΚΕ. Καθώς είμαστε εξουσιοδοτημένοι χρήστες, δημιουργούμε αρχεία YAML. Ως αποτέλεσμα, το πιστοποιητικό CSR εγκρίνεται εύκολα χρησιμοποιώντας την εντολή, όπως φαίνεται στο παρακάτω στιγμιότυπο οθόνης για διευκρίνιση.
Το my-svc.my-namespace εγκρίθηκε με επιτυχία μέσω του API Certificates.k8s.io.
Βήμα 6: Λάβετε το Πιστοποιητικό ΕΚΕ στο Kubernetes
Τώρα περιμένουμε να δούμε αν έχει εγκριθεί το πιστοποιητικό ΕΚΕ. Έτσι, θα εκτελέσουμε την εντολή για να λάβουμε μια λίστα με όλα τα πιστοποιητικά CSR που είναι ενεργά αυτήν τη στιγμή στο σύστημα. Εκτελέστε την εντολή:
> kubectl πάρε csr 
Το όνομα του εγκεκριμένου πιστοποιητικού ΕΚΕ στο Kubernetes εμφανίζεται στο συνημμένο στιγμιότυπο οθόνης. Αυτή η εντολή επιστρέφει το όνομα, την ηλικία, το όνομα υπογράφοντος, τον αιτούντα, τη διάρκεια που ζητήθηκε και την κατάσταση του πιστοποιητικού CSR.
Βήμα 7: Υπογράψτε το Πιστοποιητικό από την Αρχή Δημιουργίας
Σε αυτό το βήμα, θα δούμε πώς υπογράφονται τα πιστοποιητικά στο Kubernetes. Το πιστοποιητικό SSL έχει εγκριθεί αλλά δεν έχει υπογραφεί ακόμη. Το όνομα του υπογράφοντος εμφανίζεται στο πιστοποιητικό στο Kubernetes. Εκτελούμε την εντολή μέσω της οποίας ο υπογράφων που ζητήθηκε υπογράφει το πιστοποιητικό. Η εντολή είναι:
> Γάτα << ΕΟΦ | cfssl genart -initca - | cfssljson – bare ca{
'CN' : 'My Example Signer' ,
'κλειδί' : {
'κάτι' : 'rsa' ,
'Μέγεθος' : 2048
}
}
ΕΟΦ
Η εντολή εκτελείται για την ψηφιακή υπογραφή του πιστοποιητικού. Ο υπογράφων υπογράφει τα απαιτούμενα πιστοποιητικά και ενημερώνει την κατάσταση του API με την εντολή 'πιστοποιητικό SSL'. Δημιουργήσαμε ένα πιστοποιητικό υπογραφής εκτελώντας την παραπάνω εντολή και το αποτέλεσμα φαίνεται στο συνημμένο στιγμιότυπο οθόνης. Ένας μοναδικός σειριακός αριθμός χρησιμοποιήθηκε με επιτυχία για την υπογραφή του πιστοποιητικού.
Βήμα 8: Δημιουργήστε ένα αρχείο JSON για την έκδοση πιστοποιητικού
Μετά την υπογραφή του πιστοποιητικού, δημιουργούμε ένα αρχείο JSON από το οποίο εκδίδουμε πιστοποιητικό. Θα δημιουργήσουμε ένα αρχείο JSON εκτελώντας την ακόλουθη εντολή με το συνημμένο στιγμιότυπο οθόνης:
> νανο signingfile.jsonΑφού εκτελεστεί η εντολή, δημιουργείται το αρχείο JSON όπως φαίνεται στο παρακάτω στιγμιότυπο οθόνης.
Βήμα 9: Χρησιμοποιήστε το Server-Signing-config.json
Σε αυτό το βήμα, χρησιμοποιούμε το αρχείο server-signing-config που βρίσκεται σε JSON για την υπογραφή και την έκδοση των πιστοποιητικών. Εκτελούμε την εντολή για υπογραφή πιστοποιητικού με αρχείο ιδιωτικού κλειδιού.
> kubectl λάβετε csr my-svc.my-namespace -Ο jsonpath =' { .spec.αίτημα } '' | \ βάση64 --αποκρυπτογραφώ | \ cfssl σημάδι -ότι ca.pem -ca ca-key ca-key.pem - config server-signing-config.json | \ cfssljson -μόλις ca-signed-server 
Μετά από αυτήν την εντολή, υπογράφεται το πιστοποιητικό που έχει ήδη οριστεί στο αρχείο json. Δημιουργείται ο σειριακός αριθμός αυτού του CSR. Εδώ, δημιουργούμε ένα υπογεγραμμένο αρχείο πιστοποιητικού υπηρεσίας με το όνομα 'ca-signed-server.pem'.
Βήμα 10: Μεταφόρτωση υπογεγραμμένου πιστοποιητικού στο αντικείμενο API
Σε αυτό το βήμα, ανεβάζουμε το υπογεγραμμένο πιστοποιητικό στην κατάσταση API σε εκκρεμότητα που είδαμε παραπάνω. Η εντολή για τη μεταφόρτωση είναι:
> kubectl λάβετε csr my-svc.my-namespace -Ο json | \ jq '.status.certificate = '' $ ( base64 ca-signed-server.pem | tr -ρε '\n' ) ''' | \
> αντικαταστήστε το kubectl --ακατέργαστος / apis / πιστοποιητικά.k8s.io / v1 / αιτήματα υπογραφής πιστοποιητικών / my-svc.my- namespace / κατάσταση -φά -
Όταν εκτελείται αυτή η εντολή, το υπογεγραμμένο πιστοποιητικό μεταφορτώνεται με επιτυχία κάθε φορά που εγκρίνεται το CSR. Το στιγμιότυπο οθόνης που επισυνάπτεται παραπάνω μας δείχνει μια μορφή JSON που ανεβάζει το υπογεγραμμένο πιστοποιητικό ως αντικείμενα API.
Βήμα 11: Δηλώστε εγκεκριμένα πιστοποιητικά στο Kubernetes
Εκτελούμε ξανά την εντολή για εμφάνιση των εγκεκριμένων πιστοποιητικών στο Kubernetes.
> kubectl πάρε csr 
Το πιστοποιητικό εγκρίθηκε και εκδόθηκε με επιτυχία, όπως φαίνεται στο παραπάνω στιγμιότυπο οθόνης.
Βήμα 12: Αποθηκεύστε το Πιστοποιητικό στο Σύστημα
Σε αυτό το βήμα, θα μάθουμε πώς να κατεβάσουμε το υπογεγραμμένο πιστοποιητικό και να το χρησιμοποιήσουμε με επιτυχία στο σύστημά μας. Αναπτύσσουμε εύκολα το πιστοποιητικό στον διακομιστή. Η εντολή είναι:
> kubectl λάβετε csr my-svc.my-namespace -Ο jsonpath = '{.status.certificate}' \| βάση64 --αποκρυπτογραφώ > server.crt
Βήμα 13: Συμπληρώστε το Πιστοποιητικό
Σε αυτό το βήμα, θα μάθουμε πώς να συμπληρώνουμε το πιστοποιητικό στον διακομιστή, ώστε να μπορούμε να χρησιμοποιούμε εύκολα το πιστοποιητικό για την ασφάλεια ιστού. Εκτελούμε την εντολή:
Καλσοομ @ Καλσοομ > kubectl δημιουργία μυστικού διακομιστή tls -- πιστοποιητικό server.crt --κλειδί server-key.pem 
Το παραπάνω συνημμένο στιγμιότυπο οθόνης μας δείχνει ότι ο ασφαλής ή μυστικός διακομιστής TLS δημιουργήθηκε με επιτυχία με όνομα cert server.cr και με ιδιωτικό κλειδί server-key.pem.
Βήμα 14: Διαμόρφωση αντιστοίχισης του πιστοποιητικού
Σε αυτό το βήμα, θα διαμορφώσουμε το πιστοποιητικό για να διασφαλίσουμε ότι είναι πιστοποιητικό ασφαλούς υπηρεσίας εκτελώντας την παρακάτω εντολή:
> kubectl δημιουργία configmap example-serving-ca --από-αρχείο ca.crt=ca.pem 
Όπως φαίνεται στο συνημμένο στιγμιότυπο οθόνης, το config map/example-serving-ca δημιουργήθηκε με επιτυχία στο Kubernetes για ασφαλή σύνδεση στον διακομιστή web.
συμπέρασμα
Τα πιστοποιητικά SSL χρησιμοποιούνται για την παροχή ασφάλειας σε εφαρμογές Kubernetes στον διακομιστή ιστού. Εξηγήσαμε κάθε βήμα λεπτομερώς για να καταλάβετε. Μπορείτε επίσης να εκτελέσετε τις ίδιες εντολές στην εφαρμογή Kubernetes για να εγκαταστήσετε το πιστοποιητικό SSL.