TLS 証明書の管理（マルチクラスターアーキテクチャ）

このセクションでは、 MongoDBの各コンポーネントに対する TLS 証明書の作成と、TLS 証明書を適切なKubernetesポッドに安全にマウントするための各KubernetesクラスターでのKubernetes Secret の作成に関するガイダンスを提供します。

以下に概説するプロセスでは、Cert Manager を使用して TLS 証明書を作成します。ただし、これは独自のガイドであり、CertManager はMongoDBでサポートされていないことに注意してください。さらに、CertManager は、 Kubernetesクラスターに TLS 証明書を追加できる多くの方法の 1 つしかありません。また、組織のセキュリティ要件によっては、自己署名証明書が本番環境の配置に適していない場合があります。パブリックに信頼されている証明書が必要な場合は、それに応じて発行者を構成するか、TLS 証明書を直接提供してください。詳細については、cert-manager 統合の設定を参照してください。

前提条件

始める前に、次のタスクを実行してください。

kubectl をインストールします。
Helm をインストールします。
GKE クラスターガイドで説明されているように、K8S_CLUSTER_*_CONTEXT_NAME 環境変数を設定します。

ソースコード

含まれているすべてのソースコードはMongoDB Kubernetes Operatorリポジトリにあります。

手順

Helm Charts リポジトリを追加する。

1helm repo add jetstack https://charts.jetstack.io --force-update

Helm を使用して cert-manager をインストールします。

1helm upgrade --install \2  cert-manager jetstack/cert-manager \3  --kube-context "${K8S_CLUSTER_0_CONTEXT_NAME}" \4  --namespace cert-manager \5  --create-namespace \6  --set crds.enabled=true

証明書発行者を作成します。

1kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF2apiVersion: cert-manager.io/v13kind: ClusterIssuer4metadata:5  name: selfsigned-cluster-issuer6spec:7  selfSigned: {}8EOF9
10kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer selfsigned-cluster-issuer11
12kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF13apiVersion: cert-manager.io/v114kind: Certificate15metadata:16  name: my-selfsigned-ca17  namespace: cert-manager18spec:19  isCA: true20  commonName: my-selfsigned-ca21  secretName: root-secret22  privateKey:23    algorithm: ECDSA24    size: 25625  issuerRef:26    name: selfsigned-cluster-issuer27    kind: ClusterIssuer28EOF29
30kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready -n cert-manager certificate my-selfsigned-ca31
32kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF33apiVersion: cert-manager.io/v134kind: ClusterIssuer35metadata:36  name: my-ca-issuer37spec:38  ca:39    secretName: root-secret40EOF41
42kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer my-ca-issuer

発行者の作成を確認します。

1kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF2apiVersion: cert-manager.io/v13kind: Certificate4metadata:5  name: test-selfsigned-cert6  namespace: cert-manager7spec:8  dnsNames:9    - example.com10  secretName: test-selfsigned-cert-tls11  issuerRef:12    name: my-ca-issuer13    kind: ClusterIssuer14EOF15
16kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait -n cert-manager --for=condition=Ready certificate test-selfsigned-cert17
18kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" delete -n cert-manager certificate test-selfsigned-cert

/includes/code-examples/outputs/test_gke_multi_cluster_snippets/ra-05_0221_verify_issuer.out

certificate.cert-manager.io/test-selfsigned-cert createdcertificate.cert-manager.io/test-selfsigned-cert condition metcertificate.cert-manager.io "test-selfsigned-cert" deleted from cert-manager namespace

CA configMap を作成します。

1mkdir -p certs2
3openssl s_client -showcerts -verify 2 \4-connect downloads.mongodb.com:443 -servername downloads.mongodb.com < /dev/null \5| awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="certs/cert"a".crt"; print >out}'6
7kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" get secret root-secret -n cert-manager -o jsonpath="{.data['ca\.crt']}" | base64 --decode > certs/ca.crt8cat certs/ca.crt certs/cert2.crt certs/cert3.crt  >> certs/mms-ca.crt9
10kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${MDB_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crt11kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${OM_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crt

戻る

Istio Service Triggers

演算子を配置する

TLS 証明書の管理（マルチクラスター アーキテクチャ）