第11章 TLS 証明書の管理

手順

1. CA 証明書を対象の Secret に配置します。

   1. 既存のシークレットを削除します。

      oc delete secret CA-CERTIFICATE-SECRET

      CA-CERTIFICATE-SECRET は Secret の名前です。これは、クラスター CA 証明書の場合は CLUSTER-NAME-cluster-ca-cert、クライアント CA 証明書の場合は CLUSTER-NAME-clients-ca-cert になります。

      「Not Exists」エラーを無視します。

   2. 新規シークレットを作成およびラベル付けします。

      oc create secret generic CA-CERTIFICATE-SECRET --from-file=ca.crt=CA-CERTIFICATE-FILENAME

2. CA キーを対象の Secret に配置します。

   1. 既存のシークレットを削除します。

      oc delete secret CA-KEY-SECRET

      CA-KEY-SECRET は CA 鍵の名前です。これは、クラスター CA 鍵の場合は CLUSTER-NAME-cluster-ca、クライアント CA 鍵の場合は CLUSTER-NAME-clients-ca になります。

   2. 新規シークレットを作成します。

      oc create secret generic CA-KEY-SECRET --from-file=ca.key=CA-KEY-SECRET-FILENAME

3. strimzi.io/kind=Kafka および strimzi.io/cluster=CLUSTER-NAME というラベルをシークレットに付けます。

   oc label secret CA-CERTIFICATE-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME
   oc label secret CA-KEY-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=CLUSTER-NAME

4. クラスターの Kafka リソースを作成し、生成された CA を使用 しない ように Kafka.spec.clusterCa および Kafka.spec.clientsCa オブジェクトを設定します。

   独自指定の証明書を使用するようにクラスター CA を設定する Kafka リソースの例 (抜粋)

   kind: Kafka
   version: kafka.strimzi.io/v1beta2
   spec:
     # ...
     clusterCa:
       generateCertificateAuthority: false

1. 新しい CA 証明書を生成しますが、既存の鍵は保持します。該当する Secret 内の ca.crt という名前の古い証明書が新しい証明書に置き換えられます。
2. 新しいクライアント証明書を生成します (ZooKeeper ノード、Kafka ブローカー、および Entity Operator 用)。署名鍵は変わっておらず、CA 証明書と同期してクライアント証明書の有効期間を維持するため、これは必須ではありません。
3. ZooKeeper ノードを再起動して、ZooKeeper ノードが新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。
4. Kafka ブローカーを再起動して、Kafka ブローカーが新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。
5. Topic Operator および User Operator を再起動して、それらの Operator が新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。

手順

1. strimzi.io/force-renew アノテーションを、更新対象の CA 証明書が含まれる Secret に適用します。

   表11.8 証明書の更新を強制する Secret のアノテーション。

   証明書	Secret	annotate コマンド
   クラスター CA	KAFKA-CLUSTER-NAME-cluster-ca-cert	oc annotate secret KAFKA-CLUSTER-NAME-cluster-ca-cert strimzi.io/force-renew=true
   クライアント CA	KAFKA-CLUSTER-NAME-clients-ca-cert	oc annotate secret KAFKA-CLUSTER-NAME-clients-ca-cert strimzi.io/force-renew=true

   次回の調整で、アノテーションを付けた Secret の新規 CA 証明書が Cluster Operator によって生成されます。メンテナンス時間枠が設定されている場合、Cluster Operator によって、最初の調整時に次のメンテナンス時間枠内で新規 CA 証明書が生成されます。

   Cluster Operator によって更新されたクラスターおよびクライアント CA 証明書をクライアントアプリケーションがリロードする必要があります。

2. CA 証明書が有効である期間を確認します。

   たとえば、以下のように openssl コマンドを使用します。

   oc get secret CA-CERTIFICATE-SECRET -o 'jsonpath={.data.CA-CERTIFICATE}' | base64 -d | openssl x509 -subject -issuer -startdate -enddate -noout

   CA-CERTIFICATE-SECRET は Secretの名前です。これは、クラスター CA 証明書の場合は KAFKA-CLUSTER-NAME-cluster-ca-cert、クライアント CA 証明書の場合は KAFKA-CLUSTER-NAME-clients-ca-cert になります。

   CA-CERTIFICATE は CA 証明書の名前です (例: jsonpath={.data.ca\.crt})。

   このコマンドは、CA 証明書の有効期間である notBefore および notAfter の日付を返します。

   たとえば、クラスター CA 証明書の場合は以下のようになります。

   subject=O = io.strimzi, CN = cluster-ca v0
   issuer=O = io.strimzi, CN = cluster-ca v0
   notBefore=Jun 30 09:43:54 2020 GMT
   notAfter=Jun 30 09:43:54 2021 GMT

3. Secret から古い証明書を削除します。

   コンポーネントで新しい証明書が使用される場合でも、古い証明書がアクティブであることがあります。古い証明書を削除して、潜在的なセキュリティーリスクを取り除きます。

手順

1. Secretで、現在の CA 証明書の詳細を確認します。

   oc describe secret CA-CERTIFICATE-SECRET

   CA-CERTIFICATE-SECRET は Secretの名前です。これは、クラスター CA 証明書の場合は KAFKA-CLUSTER-NAME-cluster-ca-cert、クライアント CA 証明書の場合は KAFKA-CLUSTER-NAME-clients-ca-cert になります。

2. シークレットに既存の CA 証明書が含まれるディレクトリーを作成します。

   mkdir new-ca-cert-secret
   cd new-ca-cert-secret

3. 更新する各 CA 証明書のシークレットを取得します。

   oc get secret CA-CERTIFICATE-SECRET -o 'jsonpath={.data.CA-CERTIFICATE}' | base64 -d > CA-CERTIFICATE

   CA-CERTIFICATE を各 CA 証明書の名前に置き換えます。

4. 古い ca.crt ファイルの名前を ca-DATE.crt に変更します。ここで DATE は、YEAR-MONTH-DAYTHOUR-MINUTE-SECONDZ 形式で表した証明書の有効期限日に置き換えます。

   たとえば、ca-2018-09-27T17-32-00Z.crt のようになります。

   mv ca.crt ca-$(date -u -d$(openssl x509 -enddate -noout -in ca.crt | sed 's/.*=//') +'%Y-%m-%dT%H-%M-%SZ').crt

5. 新しい CA 証明書をディレクトリーにコピーし、ca.crt という名前を付けます。

   cp PATH-TO-NEW-CERTIFICATE ca.crt

6. CA 証明書を対象の Secret に配置します。

   1. 既存のシークレットを削除します。

      oc delete secret CA-CERTIFICATE-SECRET

      CA-CERTIFICATE-SECRET は、最初のステップで返された、Secret の名前です。

      「Not Exists」エラーを無視します。

   2. シークレットを再作成します。

      oc create secret generic CA-CERTIFICATE-SECRET --from-file=.

7. 作成したディレクトリーを削除します。

   cd ..
   rm -r new-ca-cert-secret

8. CA キーを対象の Secret に配置します。

   1. 既存のシークレットを削除します。

      oc delete secret CA-KEY-SECRET

      CA-KEY-SECRET は CA 鍵の名前です。これは、クラスター CA 鍵の場合は KAFKA-CLUSTER-NAME-cluster-ca、クライアント CA 鍵の場合は KAFKA-CLUSTER-NAME-clients-ca になります。

   2. 新しい CA 鍵でシークレットを再作成します。

      oc create secret generic CA-KEY-SECRET --from-file=ca.key=CA-KEY-SECRET-FILENAME

9. strimzi.io/kind=Kafka および strimzi.io/cluster=KAFKA-CLUSTER-NAME というラベルをシークレットに付けます。

   oc label secret CA-CERTIFICATE-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=KAFKA-CLUSTER-NAME
   oc label secret CA-KEY-SECRET strimzi.io/kind=Kafka strimzi.io/cluster=KAFKA-CLUSTER-NAME

手順

1. 秘密鍵およびサーバー証明書が含まれる Secret を作成します。

   oc create secret generic my-secret --from-file=my-listener-key.key --from-file=my-listener-certificate.crt

2. クラスターの Kafka リソースを編集します。Secret、証明書ファイル、および秘密鍵ファイルを使用するように、リスナーを configuration.brokerCertChainAndKey プロパティーで設定します。

   TLS 暗号化が有効な loadbalancer 外部リスナーの設定例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: external
       port: 9094
       type: loadbalancer
       tls: true
       authentication:
         type: tls
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

   TLS リスナーの設定例

   # ...
   listeners:
     - name: plain
       port: 9092
       type: internal
       tls: false
     - name: tls
       port: 9093
       type: internal
       tls: true
       authentication:
         type: tls
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
   # ...

3. 新しい設定を適用してリソースを作成または更新します。

   oc apply -f kafka.yaml

   Cluster Operator は、Kafka クラスターのローリングアップデートを開始し、これによりリスナーの設定が更新されます。

   注記

   TLS または外部リスナーによってすでに使用されている Secret の Kafka リスナー証明書を更新した場合でも、ローリングアップデートが開始されます。