在叢集裡輪替 CA 憑證

撤銷叢集中現有的憑證管理中心 (CA) 憑證，並發出新的 CA 憑證。

建議定期輪換 CA 憑證，以確保您的設定安全。 每次更新工作節點時，輪換 CA 憑證 是個好習慣，因為憑證輪換的最長步驟包括重新載入或更換工作節點。

依預設，會管理憑證管理中心 (CA) 憑證，以安全存取叢集的各種元件，例如主要 API 伺服器。 使用叢集時，您可能想要撤銷現有 CA 發出的憑證。 例如，您團隊的管理者可以使用憑證簽署要求 (CSR)，為叢集中的工作者節點手動產生由叢集 CA 所簽署的憑證。 如果管理者離開您的組織，您可以為叢集建立新的 CA 和憑證，並移除舊的 CA 和憑證，以確保他們不再具有叢集的管理存取權。

1. 為您的叢集建立一個 CA。 這個新 CA 所簽署的憑證會針對叢集主要元件發出，且會重新整理 API 伺服器。

   ibmcloud oc cluster ca create -c CLUSTER
   

2. 請確定叢集的主要性能正常、API 伺服器重新整理已完成，且任何主要更新已完成。 主 API 伺服器的刷新過程可能需要幾分鐘。

   ibmcloud oc cluster get --cluster CLUSTER
   

3. 請檢查 CA 建立的狀態。 在輸出中，請注意 動作已完成 欄位中的時間戳記。 如需各種狀態的說明，請參閱 憑證狀態和時間戳記。

   ibmcloud oc cluster ca status -c CLUSTER
   

   輸出範例

   Status:             CA certificate created. Reload your worker nodes then begin the CA certificate rotation.
   Action Started:     2024-08-30T16:17:56+0000
   Action Completed:   2024-08-30T16:21:13+0000
   

4. 在叢集的 kubeconfig 檔案中下載更新的 Kubernetes 配置資料及憑證。

   ibmcloud oc cluster config -c CLUSTER --admin --network
   

5. 確認新憑證中的時間戳記是否晚於您在步驟 3 中找到的時間戳記。 若要檢查憑證的日期，您可以使用 KeyCDN之類的工具。

6. 更新任何依賴先前憑證的工具或 webhooks。 例如，您可能需要更新下列一個或多個項目。

   • 如果您在自己的服務中使用群集 kubeconfig 檔案中的憑證，例如 Jenkins.
   • 如果您使用 calicoctl 管理 Calico 網路政策，請更新您的服務和自動化以使用新的憑證。
   • 如果您將稽核記錄轉寄到 IBM Cloud Logs，請更新 主稽核 webhook 的憑證。
   • 如果您透過私人網路傳送稽核記錄，請更新 主稽核 webhook 的憑證。

7. 重新載入標準工作者節點 或 取代 VPC 工作者節點，以挑選由新 CA 簽署的憑證。

8. 以新憑證輪換舊憑證。 即會移除叢集中的舊 CA 憑證。

   ibmcloud oc cluster ca rotate -c CLUSTER
   

9. 請檢查 CA 憑證輪替的狀態。

   ibmcloud oc cluster ca status -c CLUSTER
   

   輸出範例

   Status:             CA certificate rotation complete.
   Action Started:     2024-08-30T16:37:56+0000
   Action Completed:   2024-08-30T16:41:13+0000
   

10. 因為有些用戶端可能不允許在憑證束中使用過期的 CA 憑證，所以請在群集的 kubeconfig 檔案中下載更新的 Kubernetes 設定和憑證。

    ibmcloud oc cluster config -c CLUSTER --admin --network
    

11. 更新任何依賴於先前憑證的工具。 如果您在自己的服務 (例如 Travis 或 Jenkins) 中使用叢集的 kubeconfig 檔案中的憑證，或者如果您使用 calicoctl 來管理 Calico 網路原則，請更新服務並自動化以使用新憑證。