Red Hat Training

A Red Hat training course is available for OpenShift Container Platform

34.7. 轮转解密密钥

在不造成停机的情况下更改机密需要多步骤操作,特别是在存在运行多个 API 服务器的高可用性部署的情况下。

  1. 生成新密钥,并将它添加为所有服务器上当前提供程序的第二密钥条目。
  2. 重新启动所有 API 服务器,以确保每台服务器都可以使用新密钥进行解密。

    注意

    如果使用单个 API 服务器,您可以跳过这一步。

    # master-restart api
    # master-restart controllers
  3. 使新密钥成为 key 阵列 中的第一个条目,使它用于配置中的加密。
  4. 重新启动所有 API 服务器,以确保每一服务器现在使用新密钥进行加密。

    # master-restart api
    # master-restart controllers
  5. 运行以下命令以使用新密钥加密所有现有的 secret:

    $ oc adm migrate storage --include=secrets --confirm
  6. 使用正在使用的新密钥备份 etcd 并更新所有 secret 后,从配置中删除旧的解密密钥。