更新 Azure Service Fabric 证书。为什么是一级证书和二级证书？

Question

我们正在更新过期的 Service Fabric 群集主证书。我们已经阅读了大部分文档并搜索了网络，但有些内容仍然不清楚。

1. 拥有主证书和辅助证书的初衷是什么？
2. 更新证书的推荐方法似乎是将辅助证书添加到群集 (Add-AzServiceFabricClusterCertificate)。 集群是否会自动使用新的（二级）证书，其到期日期最远？我认为这就是文档所说的...... 如果是这样，二级证书会成为一级证书吗？否则我认为我们将永远留下一个过期的主证书 - 这没有多大意义？！

希望有人能对此有所了解。

/克里斯

Answer 1

1. 有两个证书槽，因此您始终可以拥有至少一个有效的工作证书。如果您只有一个证书并且它会过期或被删除，那么集群将无法工作。

2. 是的，Service Fabric 群集将automatically use the declared 证书与未来的到期日期更进一步；当主机上安装了多个验证证书时。这不会使其成为主要证书，此规则也适用于辅助证书。如果您按其通用名称选择证书，可能会找到多个结果，这是他们选择一个的方式。

流程是这样的：

1. 上传新的二级证书
2. 启用自动翻转
3. 自动翻转完成后删除主证书

更多信息here.