管理 TLS 证书（多集群架构）

本节将指导您为MongoDB的每个组件创建 TLS 证书，以及在每个Kubernetes集群中创建Kubernetes密钥，以便将 TLS 证书安全地挂载到相应的Kubernetes Pod 中。

下面概述的进程利用证书经理创建 TLS 证书。但请注意，这是一份固执己见的指南， MongoDB不支持 CertManager。此外，CertManager 只是向Kubernetes集群添加 TLS 证书的众多方法之一。此外，自签名证书可能不适合生产部署，具体取决于组织的安全要求。如果您需要公开信任的证书，请相应配置您的发行者或直接提供 TLS 证书。要学习；了解更多信息，请参阅设置证书管理器集成。

先决条件

开始之前，请执行以下任务：

安装 kubectl。
安装 Helm。
按照 GKE 集群指南中的说明设置 K8S_CLUSTER_*_CONTEXT_NAME 环境变量。

源代码

您可以在MongoDB Kubernetes Operator存储库中找到所有包含的源代码。

步骤

添加 Helm Charts 存储库。

1helm repo add jetstack https://charts.jetstack.io --force-update

使用 Helm 安装 cert-manager。

1helm upgrade --install \2  cert-manager jetstack/cert-manager \3  --kube-context "${K8S_CLUSTER_0_CONTEXT_NAME}" \4  --namespace cert-manager \5  --create-namespace \6  --set crds.enabled=true

创建证书颁发者。

1kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF2apiVersion: cert-manager.io/v13kind: ClusterIssuer4metadata:5  name: selfsigned-cluster-issuer6spec:7  selfSigned: {}8EOF9
10kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer selfsigned-cluster-issuer11
12kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF13apiVersion: cert-manager.io/v114kind: Certificate15metadata:16  name: my-selfsigned-ca17  namespace: cert-manager18spec:19  isCA: true20  commonName: my-selfsigned-ca21  secretName: root-secret22  privateKey:23    algorithm: ECDSA24    size: 25625  issuerRef:26    name: selfsigned-cluster-issuer27    kind: ClusterIssuer28EOF29
30kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready -n cert-manager certificate my-selfsigned-ca31
32kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF33apiVersion: cert-manager.io/v134kind: ClusterIssuer35metadata:36  name: my-ca-issuer37spec:38  ca:39    secretName: root-secret40EOF41
42kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer my-ca-issuer

验证发行者的创建。

1kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF2apiVersion: cert-manager.io/v13kind: Certificate4metadata:5  name: test-selfsigned-cert6  namespace: cert-manager7spec:8  dnsNames:9    - example.com10  secretName: test-selfsigned-cert-tls11  issuerRef:12    name: my-ca-issuer13    kind: ClusterIssuer14EOF15
16kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait -n cert-manager --for=condition=Ready certificate test-selfsigned-cert17
18kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" delete -n cert-manager certificate test-selfsigned-cert

/includes/code-examples/outputs/test_gke_multi_cluster_snippets/ra-05_0221_verify_issuer.out

certificate.cert-manager.io/test-selfsigned-cert createdcertificate.cert-manager.io/test-selfsigned-cert condition metcertificate.cert-manager.io "test-selfsigned-cert" deleted from cert-manager namespace

创建 CA configMap。

1mkdir -p certs2
3openssl s_client -showcerts -verify 2 \4-connect downloads.mongodb.com:443 -servername downloads.mongodb.com < /dev/null \5| awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="certs/cert"a".crt"; print >out}'6
7kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" get secret root-secret -n cert-manager -o jsonpath="{.data['ca\.crt']}" | base64 --decode > certs/ca.crt8cat certs/ca.crt certs/cert2.crt certs/cert3.crt  >> certs/mms-ca.crt9
10kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${MDB_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crt11kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${OM_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crt