Red Hat Training

A Red Hat training course is available for OpenShift Container Platform

34.7. 轮转解密密钥

在不造成停机的情况下更改机密需要多步骤操作，特别是在存在运行多个 API 服务器的高可用性部署的情况下。

  1. 生成新密钥，并将它添加为所有服务器上当前提供程序的第二密钥条目。

  2. 重新启动所有 API 服务器，以确保每台服务器都可以使用新密钥进行解密。

    注意

    如果使用单个 API 服务器，您可以跳过这一步。 

    # master-restart api
# master-restart controllers
  3. 使新密钥成为 key 阵列 中的第一个条目，使它用于配置中的加密。

  4. 重新启动所有 API 服务器，以确保每一服务器现在使用新密钥进行加密。 

    # master-restart api
# master-restart controllers

  5. 运行以下命令以使用新密钥加密所有现有的 secret： 

    $ oc adm migrate storage --include=secrets --confirm
  6. 使用正在使用的新密钥备份 etcd 并更新所有 secret 后，从配置中删除旧的解密密钥。