Client TLS/SSL Connections¶

CloudNativePG演算子は、サーバー側とクライアント側で、転送中の暗号化と認証の両方でTLS / SSLと連携するように設計されています。 CNPG演算子を使用して作成されたクラスターには、TLSクライアント証明書を作成して署名するためのCertificationAuthority（CA）が付属しています。 kubectl の cnpg プラグインを使用して、パスワードを使用する代わりにユーザの認証に使用できる新しいTLSクライアント証明書を発行できます。

TLS / SSL証明書によるユーザについては、ファイルデプロイメントマニフェストを使用してクラスターをインストールしていることを前提として、次の手順を参照してください。 bootstrap セクションの initdb 構成を介してこの規則を変更できます）。

新しい証明書の発行¶

次のように、 cluster-example PostgreSQLクラスターの app ユーザの証明書を作成できます。

kubectl cnpg certificate cluster-app \
  --cnpg-cluster cluster-example \
  --cnpg-user app

これで証明書を検証できます：

kubectl get secret cluster-app \
  -o jsonpath="{.data[tls\.crt]}" \
  | base64 -d | openssl x509 -text -noout \
  | head -n 11

出力：

Certificate:
  Data:
    Version: 3 (0x2)
    Serial Number:
      5d:e1:72:8a:39:9f:ce:51:19:9d:21:ff:1e:4b:24:5d
    Signature Algorithm: ecdsa-with-SHA256
    Issuer: OU = default, CN = cluster-example
    Validity
      Not Before: Mar 22 10:22:14 2021 GMT
      Not After : Mar 22 10:22:14 2022 GMT
    Subject: CN = app

ご覧のとおり、TLSクライアント証明書はデフォルトで90日間有効で作成され、 PostgreSQLのユーザー名に対応するシンプルCNで作成されます。これは、 pg_hba.conf の hostssl entriesに対して cert 認証メソッドを活用するために必要です。

TLS証明書を介した接続のテスト¶

次に、CloudNativePGclusterに接続するデモクライアントアプリケーションを構成して、このクライアント証明書をテストします。

cert-test.yaml と呼ばれる次のマニフェストは、データベースクラスタが実行されているのと同じネームスペースにテストアプリケーションを含むデモPodを作成します。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: cert-test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: webtest
  template:
    metadata:
      labels:
        app: webtest
    spec:
      containers:
        - image: quay.io/leonardoce/webtest:1.3.0
          name: cert-test
          volumeMounts:
            - name: secret-volume-root-ca
              mountPath: /etc/secrets/ca
            - name: secret-volume-app
              mountPath: /etc/secrets/app
          ports:
            - containerPort: 8080
          env:
            - name: DATABASE_URL
              value: >
                sslkey=/etc/secrets/app/tls.key
                sslcert=/etc/secrets/app/tls.crt
                sslrootcert=/etc/secrets/ca/ca.crt
                host=cluster-example-rw.default.svc
                dbname=app
                user=app
                sslmode=verify-full
            - name: SQL_QUERY
              value: SELECT 1
          readinessProbe:
            httpGet:
              port: 8080
              path: /tx
      volumes:
        - name: secret-volume-root-ca
          secret:
            secretName: cluster-example-ca
            defaultMode: 0600
        - name: secret-volume-app
          secret:
            secretName: cluster-app
            defaultMode: 0600

このポッドは、CloudNativePG演算子が管理するシークレットをマウントします。

sslcert ：TLSクライアントの公開証明書
sslkey ：TLSクライアント証明書のプライベートキー
sslrootcert ：証明書に署名したTLS証明機関証明書インスタンスの身元を確認するために使用されるサーバー

それらは、 PostgresデータベースへのTLS暗号化接続を確立するために psql （および pgbench などの他のlibpqベースのアプリケーション）が必要とするデフォルトのリソースを作成するために使用されます。

デフォルトでは、 psql は現在のユーザの ~/.postgresql ディレクトリ内で証明書を検索しますが、sslkey、sslcert、sslrootcertオプションを使用してlibpqに暗号化素材の実際の場所を指定できます。上記のファイルのコンテンツは、以前に cnpg プラグインforkubectlを使用して作成されました。

次に、アプリケーションをデプロイします。

kubectl create -f cert-test.yaml

次に、作成したPodをPostgreSQLクライアントとして使用して、作成したTLS証明書を使用してSSL接続と認証を検証します。

データベースサーバに到達できるときにアプリケーションの準備ができていることを保証に、準備プローブが構成されています。

接続が機能することを確認するには、Podのコンテナー内でインタラクティブ bash を実行し、必要なオプションを使用して psql を実行します。 PostgreSQLサーバーは、読み書きKubernetesサービスを介して公開されます。 psql コマンドをポイントして、このサービスに接続します。

kubectl exec -it cert-test -- bash -c "psql
sslkey=/etc/secrets/app/tls.key sslcert=/etc/secrets/appuser/tls.crt
sslrootcert=/etc/secrets/ca/ca.crt host=cluster-example-rw.default.svc dbname=app
user=app sslmode=verify-full -c select version();"

出力：

                                        version
- -------------------------------------------------------------------------------------
- -----------------
PostgreSQL 14.2 on x86_64-pc-linux-gnu, compiled by gcc (GCC) 8.3.1 20191121 (Red Hat
8.3.1-5), 64-bit
(1 row)

Client TLS/SSL Connections¶

新しい証明書の発行¶

TLS証明書を介した接続のテスト¶

前のトピックへ

次のトピックへ

目次