服务 CA 证书

service-ca 是一个操作符，在部署 OpenShift Container Platform 集群时会创建一个自签名 CA。

不支持自定义过期期限。自签名 CA 存储在限定名为 service-ca/signing-key 的密钥中，字段为 tls.crt（证书）、tls.key（私钥）和 ca-bundle.crt（CA 捆绑包）。

其他服务可以通过使用 service.beta.openshift.io/serving-cert-secret-name: <secret name> 注释服务资源来请求服务提供证书。响应中，操作符会将新证书作为 tls.crt 和私钥作为 tls.key 生成到指定的密钥中。证书有效期为两年。

其他服务可以通过使用 service.beta.openshift.io/inject-cabundle: true 注释来请求将服务 CA 的 CA 捆绑包注入到 API 服务或配置映射资源中，以支持验证从服务 CA 生成的证书。响应中，操作符会将其当前 CA 捆绑包写入 API 服务的 CABundle 字段，或作为 service-ca.crt 写入配置映射。

从 OpenShift Container Platform 4.3.5 开始，支持自动轮换，并向部分 4.2.z 和 4.3.z 版本回传。对于任何支持自动轮换的版本，服务 CA 有效期为 26 个月，并在剩余有效期少于 13 个月时自动刷新。如有必要，您可以手动刷新服务 CA。

服务 CA 的 26 个月有效期长于受支持的 OpenShift Container Platform 集群的预期升级间隔，这样，服务 CA 证书的非控制平面使用者将在 CA 轮换后和预轮换 CA 过期前刷新。

这些证书由系统管理，而不是用户管理。

使用服务 CA 证书的服务包括

这不是一个完整的列表。