OpenShift 文档正在迁移，很快将只在 docs.redhat.com（所有 Red Hat 产品文档的首页）提供。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

添加受信任的证书颁发机构

了解如何将自定义受信任的证书颁发机构添加到 Red Hat Advanced Cluster Security for Kubernetes。

如果您在网络上使用企业证书颁发机构 (CA) 或自签名证书，则必须将 CA 的根证书作为受信任的根 CA 添加到 Red Hat Advanced Cluster Security for Kubernetes。

添加受信任的根 CA 允许：

  • 中心和扫描器在与其他工具集成时信任远程服务器。

  • 传感器信任您用于中心的自定义证书。

您可以在安装过程中或现有部署中添加额外的 CA。

您必须首先在已部署 Central 的集群中配置受信任的 CA，然后将更改传播到 Scanner 和 Sensor。

配置附加 CA

要添加自定义 CA

步骤

  1. 下载 ca-setup.sh 脚本。

    • 如果您正在进行新的安装，则可以在central-bundle/central/scripts/ca-setup.sh目录下的scripts目录中找到ca-setup.sh脚本。

    • 您必须在与登录 OpenShift Container Platform 集群相同的终端中运行ca-setup.sh脚本。

  2. 使ca-setup.sh脚本可执行

    $ chmod +x ca-setup.sh

  3. 要添加

    1. 单个证书，请使用-f（文件）选项

      $ ./ca-setup.sh -f <certificate>

      • 您必须使用 PEM 编码的证书文件（任何扩展名）。

      • 您还可以将-u（更新）选项与-f选项一起使用来更新任何先前添加的证书。

    2. 一次添加多个证书，将所有证书移动到一个目录中，然后使用-d（目录）选项

      $ ./ca-setup.sh -d <directory_name>

      • 您必须使用具有.crt或.pem扩展名的 PEM 编码的证书文件。

      • 每个文件只能包含一个证书。

      • 您还可以将-u（更新）选项与-d选项一起使用来更新任何先前添加的证书。

传播更改

配置受信任的 CA 后，必须使 Red Hat Advanced Cluster Security for Kubernetes 服务信任它们。

  • 如果您在安装后配置了受信任的 CA，则必须重新启动 Central。

  • 此外，如果您还添加了与镜像注册表集成的证书，则必须重新启动 Central 和 Scanner。

重新启动 Central 容器

您可以通过终止 Central 容器或删除 Central pod 来重新启动 Central 容器。

步骤

  • 运行以下命令以终止 Central 容器

    您必须等待至少 1 分钟，直到 OpenShift Container Platform 传播您的更改并重新启动 Central 容器。

    		 
    $ oc -n stackrox exec deploy/central -c central -- kill 1

  • 或者，运行以下命令删除 Central pod

    $ oc -n stackrox delete pod -lapp=central

重新启动 Scanner 容器

您可以通过删除 pod 来重新启动 Scanner 容器。

步骤

  • 运行以下命令删除 Scanner pod

    • 在 OpenShift Container Platform 上

      $ oc delete pod -n stackrox -l app=scanner

    • 在 Kubernetes 上

      $ kubectl delete pod -n stackrox -l app=scanner

添加受信任的 CA 并配置 Central 后，这些 CA 将包含在您创建的任何新的 Sensor 部署包中。

  • 如果现有 Sensor 在连接到 Central 时报告问题，则必须生成 Sensor 部署 YAML 文件并更新现有集群。

  • 如果您使用sensor.sh脚本部署新的 Sensor，请在运行sensor.sh脚本之前运行以下命令

    $ ./ca-setup-sensor.sh -d ./additional-cas/

  • 如果您使用 Helm 部署新的 Sensor，则无需运行任何其他脚本。