証明書 ====== CloudNativePGは、TLS証明書をネイティブにサポートするように設計されています。 ``Cluster`` を設定するには、オペレーターに以下が必要です。 - サーバー認証局CA証明書 - サーバー認証局によって署名されたサーバーTLS証明書 - クライアント認証局証明書 - クライアント認証局によって生成されたストリーミングレプリケーションクライアント証明書 .. Note:: クラスターが使用するすべてのシークレットとその有効期限は、クラスターのステータスで見つけることができます。 CloudNativePGは、TLS証明書に関して非常に柔軟で、主に2つのモードで動作します。 1. :ref:`**operator managed** <#operator-managed-mode>` 証明書は完全に自動化された方法でオペレーターによって内部管理され、CloudNativePGによって作成されたCAを使用して署名されます 2. :ref:`**user provided** <証明書>` 証明書はオペレーターの外部で生成され、シークレットとしてクラスター定義にインポートされます - CloudNativePGはcert-managerと自分自身を統合します以下の例を参照してください 証明書の一部のみがCNPG外部で生成されるハイブリッドアプローチを選択することもできます。 オペレーター管理モード ---------------------- デフォルトでは、オペレーターは単一の認証局を生成し、クライアントとサーバーの両方の証明書に使用します。これらは自動的に管理および更新されます。 サーバー証明書 ^^^^^^^^^^^^^^ サーバーCAシークレット ^^^^^^^^^^^^^^^^^^^^^^ オペレーターは、自己署名CAを生成し、次のキーを含む汎用シークレットに保存します。 - ``ca.crt`` サーバー証明書の検証に使用されるCA証明書。クライアントの接続文字列で\ ``sslrootcert`` として使用されます。 - ``ca.key`` サーバーSSL証明書に自動的に署名するために使用されるキー サーバーTLSシークレット ^^^^^^^^^^^^^^^^^^^^^^^ オペレーターは、生成された自己署名CAを使用して、サーバーTLS証明書に署名します。この証明書は、\ ``kubernetes.io/tls`` タイプのシークレットに保存され、インスタンスによって\ ``ssl_cert_file`` および\ ``ssl_key_file`` として使用されるように構成され、クライアントがIDを確認して安全に接続できます。 サーバー代替DNS名 ^^^^^^^^^^^^^^^^^ デフォルトのものに加えて、生成されるサーバーTLSシークレットの一部であるDNSサーバーの代替名を指定できます。 クライアント証明書 ^^^^^^^^^^^^^^^^^^ クライアントCAシークレット ^^^^^^^^^^^^^^^^^^^^^^^^^^ サーバーCAと同じ自己署名CAがデフォルトで使用されます。署名されたクライアント証明書を検証できるように、パブリック部分は\ ``ssl_ca_file`` としてすべてのインスタンスに渡されます。プライベートキーは同じシークレットに保存され、 ``kubectl cnpg`` プラグインによって生成されたクライアント証明書の署名に使用されます。 クライアントstreaming_replica証明書 ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ オペレーターは、生成された自己署名CAを使用して、ユーザー\ ``streaming_replica`` のクライアント証明書に署名し、\ ``kubernetes.io/tls`` タイプのシークレットに保存します。この証明書は、レプリカの接続文字列で\ ``sslcert`` および\ ``sslkey`` として渡され、プライマリインスタンスに安全に接続できます。 ユーザー提供の証明書モード -------------------------- .. _サーバー証明書-1: サーバー証明書 ^^^^^^^^^^^^^^ 必要に応じて、 2つのサーバー証明書を提供し、 `cert-manager `_ などの別のコンポーネントを使用して生成することもできます。クラスターにカスタムサーバーTLS証明書を使用するには、次のパラメーターを指定する必要があります。 - ``serverTLSSecret`` サーバーTLS証明書を含む\ ``kubernetes.io/tls`` タイプのシークレットの名前。これには、標準の\ ``tls.crt`` および\ ``tls.key`` キーの両方が含まれている必要があります。 - ``serverCASecret`` ``ca.crt`` キーを含むシークレットの名前。 .. Note:: オペレーターは、クライアント証明書に関連する2つのシークレットを作成および管理します。 .. Note:: ConfigMapとSecretsをインスタンスによって**自動的に**リロードしたい場合は、キー`cnpg.io/reload` を持つラベルをそれに追加できます。それ以外の場合、 `kubectl cnpg reload` サブコマンドを使用してインスタンスをリロードする必要があります。 完全な例については、以下を参照してください。 例 ^^ 次のファイルがあるとします。 - ``server-ca.crt`` サーバーTLS証明書に署名したCAの証明書。 - ``server.crt`` サーバーTLS証明書の証明書。 - ``server.key`` サーバーTLS証明書のプライベートキー。 CA証明書を含むシークレットを作成します。 :: kubectl create secret generic my-postgresql-server-ca \ --from-file=ca.crt=./server-ca.crt TLS証明書を使用してシークレットを作成します。 :: kubectl create secret tls my-postgresql-server \ --cert=./server.crt --key=./server.key これらのシークレットを参照する\ ``Cluster`` を作成します。 .. code:: bash kubectl apply -f - <`_ を使用して自己署名CAを設定し、必要なTLSサーバー証明書を生成する方法に関する簡単な例を示します。 .. code:: yaml - -- apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: selfsigned-issuer spec: selfSigned: {} - -- apiVersion: v1 kind: Secret metadata: name: my-postgres-server-cert labels: cnpg.io/reload: "" - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: my-postgres-server-cert spec: secretName: my-postgres-server-cert usages: - server auth dnsNames: - cluster-example-lb.internal.mydomain.net - cluster-example-rw - cluster-example-rw.default - cluster-example-rw.default.svc - cluster-example-r - cluster-example-r.default - cluster-example-r.default.svc - cluster-example-ro - cluster-example-ro.default - cluster-example-ro.default.svc issuerRef: name: selfsigned-issuer kind: Issuer group: cert-manager.io ``my-postgres-server-cert`` という名前のシークレットは、cert-managerによって作成され、必要なすべてのファイルを含み、次のようにクラスターから参照できます。 .. code:: yaml apiVersion: postgresql.cnpg.io/v1 kind: Cluster metadata: name: cluster-example spec: instances: 3 certificates: serverTLSSecret: my-postgres-server-cert serverCASecret: my-postgres-server-cert storage: size: 1Gi cert-managerを使用して、サーバーとクライアントの両方のCAと証明書を管理する完全な例を見つけることができます。 :: apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: selfsigned-issuer spec: selfSigned: {} - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: server-ca spec: isCA: true commonName: my-selfsigned-server-ca secretName: server-ca-key-pair privateKey: algorithm: ECDSA size: 256 issuerRef: name: selfsigned-issuer kind: Issuer group: cert-manager.io - -- apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: server-ca-issuer spec: ca: secretName: server-ca-key-pair - -- apiVersion: v1 kind: Secret metadata: name: my-postgres-server-cert labels: cnpg.io/reload: "" - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: my-postgres-server-cert spec: secretName: my-postgres-server-cert usages: - server auth dnsNames: - cluster-example-lb.internal.mydomain.net - cluster-example-rw - cluster-example-rw.default - cluster-example-rw.default.svc - cluster-example-r - cluster-example-r.default - cluster-example-r.default.svc - cluster-example-ro - cluster-example-ro.default - cluster-example-ro.default.svc issuerRef: name: server-ca-issuer kind: Issuer group: cert-manager.io - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: client-ca spec: isCA: true commonName: my-selfsigned-client-ca secretName: client-ca-key-pair privateKey: algorithm: ECDSA size: 256 issuerRef: name: selfsigned-issuer kind: Issuer group: cert-manager.io - -- apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: client-ca-issuer spec: ca: secretName: client-ca-key-pair - -- apiVersion: v1 kind: Secret metadata: name: my-postgres-client-cert labels: cnpg.io/reload: "" - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: my-postgres-client-cert spec: secretName: my-postgres-client-cert usages: - client auth commonName: streaming_replica issuerRef: name: client-ca-issuer kind: Issuer group: cert-manager.io - -- apiVersion: postgresql.cnpg.io/v1 kind: Cluster metadata: name: cluster-example spec: instances: 3 certificates: serverTLSSecret: my-postgres-server-cert serverCASecret: my-postgres-server-cert clientCASecret: my-postgres-client-cert replicationTLSSecret: my-postgres-client-cert storage: size: 1Gi 展開マニフェスト。 .. _クライアント証明書-1: クライアント証明書 ^^^^^^^^^^^^^^^^^^ 必要に応じて、 `cert-manager `_ や `hashicorp vault `_ などの別のコンポーネントを使用して生成し、2つのクライアント証明書を提供することもできます。カスタムCAを使用してクラスターのクライアント証明書を検証するには、次のパラメーターを指定する必要があります。 - ``replicationTLSSecret`` ``kubernetes.io/tls`` タイプのシークレットの名前であり、ユーザー ``streaming_replica`` のクライアント証明書を含みます。これには、標準の\ ``tls.crt`` および\ ``tls.key`` キーの両方が含まれている必要があります。 - ``clientCASecret`` クライアント証明書の検証に使用するCAの\ ``ca.crt`` キーを含むシークレットの名前。 .. Note:: オペレーターは、サーバー証明書に関連する2つのシークレットを作成および管理します。 .. Note:: クラスターはクライアントCA秘密キーを制御していないため、 `kubectl cnpg certificate` を使用してクライアント証明書を生成できません。 .. Note:: ConfigMapとSecretsをインスタンスによって**自動的に**リロードしたい場合は、キー`cnpg.io/reload` を持つラベルをそれに追加できます。それ以外の場合、 `kubectl cnpg reload` サブコマンドを使用してインスタンスをリロードする必要があります。 .. _証明書マネージャーの例-1: 証明書マネージャーの例 ^^^^^^^^^^^^^^^^^^^^^^ 次に、 `cert-manager `_ を使用して自己署名CAを設定し、必要なTLSサーバー証明書を生成する方法に関する簡単な例を示します。 .. code:: yaml - -- apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: selfsigned-issuer spec: selfSigned: {} - -- apiVersion: v1 kind: Secret metadata: name: my-postgres-client-cert labels: cnpg.io/reload: "" - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: my-postgres-client-cert spec: secretName: my-postgres-client-cert usages: - client auth commonName: streaming_replica issuerRef: name: selfsigned-issuer kind: Issuer group: cert-manager.io ``my-postgres-client-cert`` という名前のシークレットは、cert-managerによって作成され、必要なすべてのファイルを含み、次のようにクラスターから参照できます。 .. code:: yaml apiVersion: postgresql.cnpg.io/v1 kind: Cluster metadata: name: cluster-example spec: instances: 3 certificates: clientCASecret: my-postgres-client-cert replicationTLSSecret: my-postgres-client-cert storage: size: 1Gi cert-managerを使用して、サーバーとクライアントの両方のCAと証明書を管理する完全な例を見つけることができます。 :: apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: selfsigned-issuer spec: selfSigned: {} - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: server-ca spec: isCA: true commonName: my-selfsigned-server-ca secretName: server-ca-key-pair privateKey: algorithm: ECDSA size: 256 issuerRef: name: selfsigned-issuer kind: Issuer group: cert-manager.io - -- apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: server-ca-issuer spec: ca: secretName: server-ca-key-pair - -- apiVersion: v1 kind: Secret metadata: name: my-postgres-server-cert labels: cnpg.io/reload: "" - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: my-postgres-server-cert spec: secretName: my-postgres-server-cert usages: - server auth dnsNames: - cluster-example-lb.internal.mydomain.net - cluster-example-rw - cluster-example-rw.default - cluster-example-rw.default.svc - cluster-example-r - cluster-example-r.default - cluster-example-r.default.svc - cluster-example-ro - cluster-example-ro.default - cluster-example-ro.default.svc issuerRef: name: server-ca-issuer kind: Issuer group: cert-manager.io - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: client-ca spec: isCA: true commonName: my-selfsigned-client-ca secretName: client-ca-key-pair privateKey: algorithm: ECDSA size: 256 issuerRef: name: selfsigned-issuer kind: Issuer group: cert-manager.io - -- apiVersion: cert-manager.io/v1 kind: Issuer metadata: name: client-ca-issuer spec: ca: secretName: client-ca-key-pair - -- apiVersion: v1 kind: Secret metadata: name: my-postgres-client-cert labels: cnpg.io/reload: "" - -- apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: my-postgres-client-cert spec: secretName: my-postgres-client-cert usages: - client auth commonName: streaming_replica issuerRef: name: client-ca-issuer kind: Issuer group: cert-manager.io - -- apiVersion: postgresql.cnpg.io/v1 kind: Cluster metadata: name: cluster-example spec: instances: 3 certificates: serverTLSSecret: my-postgres-server-cert serverCASecret: my-postgres-server-cert clientCASecret: my-postgres-client-cert replicationTLSSecret: my-postgres-client-cert storage: size: 1Gi 展開マニフェスト。