第13章 セキュリティー

手順

1. 使用する CA 証明書を対応する Secret に挿入します (クラスター CA の場合は <cluster>-cluster-ca-cert、クライアント CA の場合は <cluster>-clients-ca-cert)。

   以下のコマンドを実行します。

   # Delete any existing secret (ignore "Not Exists" errors)
   oc delete secret <ca-cert-secret>
   # Create and label the new secret
   oc create secret generic <ca-cert-secret> --from-file=ca.crt=<ca-cert-file>

2. 使用する CA キーを対応する Secret に挿入します (クラスター CA の場合は <cluster>-cluster-ca、クライアント CA の場合は <cluster>-clients-ca)。

   # Delete the existing secret
   oc delete secret <ca-key-secret>
   # Create the new one
   oc create secret generic <ca-key-secret> --from-file=ca.key=<ca-key-file>

3. 両方の Secrets にラベル strimzi.io/kind=Kafka および strimzi.io/cluster=<my-cluster> を付けます。

   oc label secret <ca-cert-secret> strimzi.io/kind=Kafka strimzi.io/cluster=<my-cluster>
   oc label secret <ca-key-secret> strimzi.io/kind=Kafka strimzi.io/cluster=<my-cluster>

4. クラスターの Kafka リソースを作成し、生成された CA を使用 しない ように Kafka.spec.clusterCa および Kafka.spec.clientsCa オブジェクトを設定します。

   独自指定の証明書を使用するようにクラスター CA を設定する Kafka リソースの例 (抜粋)

   kind: Kafka
   version: kafka.strimzi.io/v1beta1
   spec:
     # ...
     clusterCa:
       generateCertificateAuthority: false

1. 新しい CA 証明書を生成しますが、既存の鍵は保持します。該当する Secret 内の ca.crt という名前の古い証明書が新しい証明書に置き換えられます。
2. 新しいクライアント証明書を生成します (ZooKeeper ノード、Kafka ブローカー、および Entity Operator 用)。署名鍵は変わっておらず、CA 証明書と同期してクライアント証明書の有効期間を維持するため、これは必須ではありません。
3. ZooKeeper ノードを再起動して、ZooKeeper ノードが新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。
4. Kafka ブローカーを再起動して、Kafka ブローカーが新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。
5. Topic Operator および User Operator を再起動して、それらの Operator が新しい CA 証明書を信頼し、新しいクライアント証明書を使用するようにします。

手順

1. Secret にすでに存在する CA 証明書を確認します。

   以下のコマンドを使用します。

   oc describe secret <ca-cert-secret>

2. Secret に既存の CA 証明書が含まれるディレクトリーを準備します。

   mkdir new-ca-cert-secret
   cd new-ca-cert-secret

   前のステップで確認した証明書 <ca-certificate> ごとに、以下を実行します。

   # Fetch the existing secret
   oc get secret <ca-cert-secret> -o 'jsonpath={.data.<ca-certificate>}' | base64 -d > <ca-certificate>

3. 古い ca.crt ファイルの名前を ca_<date>_.crt に変更します。ここで、<date> は証明書の有効期限日に置き換え、<year>-<month>-<day>_T<hour>_-<minute>-_<second>_Z の形式 (たとえば ca-2018-09-27T17-32-00Z.crt) を使用します。

   mv ca.crt ca-$(date -u -d$(openssl x509 -enddate -noout -in ca.crt | sed 's/.*=//') +'%Y-%m-%dT%H-%M-%SZ').crt

4. 新規 CA 証明書をディレクトリーにコピーし、ca.crt という名前を付けます。

   cp <path-to-new-cert> ca.crt

5. CA 証明書 Secret を置き換えます (<cluster>-cluster-ca または <cluster>-clients-ca)。これは、以下のコマンドで実行できます。

   # Delete the existing secret
   oc delete secret <ca-cert-secret>
   # Re-create the secret with the new private key
   oc create secret generic <ca-cert-secret> --from-file=.

   これで、作成したディレクトリーを削除できます。

   cd ..
   rm -r new-ca-cert-secret

6. CA キー Secret を置き換えます (<cluster>-cluster-ca または <cluster>-clients-ca)。これは、以下のコマンドで実行できます。

   # Delete the existing secret
   oc delete secret <ca-key-secret>
   # Re-create the secret with the new private key
   oc create secret generic <ca-key-secret> --from-file=ca.key=<ca-key-file>

手順

1. 秘密鍵およびサーバー証明書が含まれる Secret を作成します。

   oc create secret generic my-secret --from-file=my-listener-key.key --from-file=my-listener-certificate.crt

2. クラスターの Kafka リソースを編集します。Secret、証明書ファイル、および秘密鍵ファイルを使用するように、リスナーを configuration.brokerCertChainAndKey プロパティーで設定します。

   TLS 暗号化が有効な loadbalancer 外部リスナーの設定例

   # ...
   listeners:
     plain: {}
     external:
       type: loadbalancer
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.crt
           key: my-listener-key.key
       tls: true
       authentication:
         type: tls
   # ...

   TLS リスナーの設定例

   # ...
   listeners:
     plain: {}
     tls:
       configuration:
         brokerCertChainAndKey:
           secretName: my-secret
           certificate: my-listener-certificate.pem
           key: my-listener-key.key
       authentication:
         type: tls
   # ...

3. 新しい設定を適用してリソースを作成または更新します。

   oc apply -f kafka.yaml

   Cluster Operator は、Kafka クラスターのローリングアップデートを開始し、これによりリスナーの設定が更新されます。

   注記

   TLS または外部リスナーによってすでに使用されている Secret の Kafka リスナー証明書を更新した場合でも、ローリングアップデートが開始されます。