4.7.2.3. 配置双向 TLS

流程

1. 为代理密钥存储生成自签名证书。

   $ keytool -genkey -alias broker -keyalg RSA -keystore ~/broker.ks

2. 从代理密钥存储导出证书，以便与客户端共享证书。以 Base64 编码 .pem 格式导出证书。例如：

   $ keytool -export -alias broker -keystore ~/broker.ks -file ~/broker_cert.pem

3. 在客户端上，创建一个导入代理证书的客户端信任存储。

   $ keytool -import -alias broker -keystore ~/client.ts -file ~/broker_cert.pem

4. 在客户端上，为客户端密钥存储生成自签名证书。

   $ keytool -genkey -alias broker -keyalg RSA -keystore ~/client.ks

5. 在客户端上，从客户端密钥存储导出证书，以便它可以与代理共享。以 Base64 编码 .pem 格式导出证书。例如：

   $ keytool -export -alias broker -keystore ~/client.ks -file ~/client_cert.pem

6. 创建导入客户端证书的代理信任存储。

   $ keytool -import -alias broker -keystore ~/broker.ts -file ~/client_cert.pem

7. 以管理员身份登录 OpenShift 容器平台。例如：

   $ oc login -u system:admin

8. 切换到包含代理部署的项目。例如：

   $ oc project <my_openshift_project>

9. 创建用于存储 TLS 凭据的机密。例如：

   $ oc create secret generic my-tls-secret \
   --from-file=broker.ks=~/broker.ks \
   --from-file=client.ts=~/broker.ts \
   --from-literal=keyStorePassword=<password> \
   --from-literal=trustStorePassword=<password>

   注意

   在生成机密时，OpenShift 要求您同时指定密钥存储和信任存储。trust store 键通常命名为 client.ts。对于代理和客户端之间的双向 TLS，您必须生成一个包含代理信任存储的 secret，因为这保存了客户端证书。因此，在上一步中，您为 client.ts 键指定的值实际上是 代理 信任存储文件。

10. 将 secret 链接到您在安装 Operator 时创建的服务帐户。例如：

    $ oc secrets link sa/amq-broker-operator secret/my-tls-secret

11. 在安全接收器或连接器的 sslSecret 参数中指定 secret 名称。例如：

    spec:
    ...
      acceptors:
      - name: my-acceptor
        protocols: amqp,openwire
        port: 5672
        sslEnabled: true
        sslSecret: my-tls-secret
        expose: true
        connectionsAllowed: 5
    ...