OpenShift 文档正在迁移，不久后将仅在 docs.redhat.com（所有 Red Hat 产品文档的中心）提供。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

更新 CA 证书包

了解 CA Bundle 证书

代理证书允许用户指定一个或多个自定义证书颁发机构 (CA)，平台组件在进行出站连接时使用这些证书。

Proxy 对象的trustedCA字段引用包含用户提供的可信证书颁发机构 (CA) 捆绑包的配置映射。此捆绑包与 Red Hat Enterprise Linux CoreOS (RHCOS) 信任捆绑包合并，并注入到进行出站 HTTPS 调用的平台组件的信任存储中。例如，image-registry-operator 调用外部镜像注册表以下载镜像。如果未指定trustedCA，则仅对代理 HTTPS 连接使用 RHCOS 信任捆绑包。如果要使用您自己的证书基础设施，请向 RHCOS 信任捆绑包提供自定义 CA 证书。

trustedCA字段应仅由代理验证器使用。验证器负责从所需的键ca-bundle.crt读取证书捆绑包，并将其复制到openshift-config-managed命名空间中名为trusted-ca-bundle的配置映射中。trustedCA引用的配置映射的命名空间是openshift-config。

apiVersion: v1
kind: ConfigMap
metadata:
  name: user-ca-bundle
  namespace: openshift-config
data:
  ca-bundle.crt: |
    -----BEGIN CERTIFICATE-----
    Custom CA certificate bundle.
    -----END CERTIFICATE-----

替换 CA Bundle 证书

步骤

  1. 创建一个包含用于签署通配符证书的根 CA 证书的配置映射

    $ oc create configmap custom-ca \
     --from-file=ca-bundle.crt=</path/to/example-ca.crt> \(1)
     -n openshift-config
    1 </path/to/example-ca.crt>是您本地文件系统上 CA 证书捆绑包的路径。

  2. 使用新创建的配置映射更新集群范围的代理配置

    $ oc patch proxy/cluster \
     --type=merge \
     --patch='{"spec":{"trustedCA":{"name":"custom-ca"}}}'

其他资源