信任 pod 内的自签名证书答案

【问题标题】：Trusting self signed certificate inside pod信任 pod 内的自签名证书
【发布时间】：2021-04-07 21:28:12
【问题描述】：

在我们公司的内部网络中，我们拥有用于在 DEV 或暂存环境中运行的应用程序的自签名证书。对于我们的本地计算机，它已经被信任，因为 Active Directory 使用组策略对象提供了它。但在 Kubernetes(Openshift) 世界中，我们必须做一些额外的操作才能提供成功的 SSL/TLS 流量。

在相关应用程序的 Dockerfile 中，我们将证书复制到容器中，并在构建 Docker 映像时信任它。之后，在容器中运行的应用程序向使用该自签名证书服务的 HTTPS 端点的请求是成功的。否则会遇到“无法建立 SSL/TLS 安全通道”之类的错误

COPY ./mycertificate.crt /usr/local/share/ca-certificates/
RUN chmod 644 /usr/local/share/ca-certificates/mycertificate.crt && update-ca-certificates

但是，我认为这不是最好的方法。当证书过期时，它需要大量的操作工作。很快就很难管理和维护。我想知道处理这个问题的有效方法是什么。

提前感谢您的支持。

【问题讨论】：

标签： ssl kubernetes openshift devops self-signed-certificate

【解决方案1】：

Best 是高度相关的，但您可以先将其拉出到 ConfigMap 中，然后将其安装到您的容器中。这将所有更新它的工作推到运行时，但引入了相当多的复杂性。这取决于它更改的频率以及在它发生时您可以自动化重建/重新部署的程度。

【讨论】：

【解决方案2】：

通常应由您的 OpenShift 管理员使用以下文档在集群范围内进行配置，以便您的容器默认信任您的内部根 CA (additionalTrustBundle)：

https://docs.openshift.com/container-platform/4.6/networking/configuring-a-custom-pki.html#nw-proxy-configure-object_configuring-a-custom-pki

【讨论】：