租戶的 cert-manager

先決條件

• 已安裝 kustomize

• 對您的 k8s 叢集的 kubectl 存取權

• 已完成設定 cert-manager的步驟

• 已安裝 MinIO Operator 並設定用於 cert-manager。

1) 建立租戶命名空間 CA 發行者

在部署新租戶之前，請為租戶的命名空間建立憑證授權單位和發行者。

1. 如有必要，請建立租戶的命名空間。

   kubectl create ns tenant-1
   

   這必須與租戶 YAML 中的 metadata.namespace 欄位的值相符。

2. 請求將 spec.isCA 設定為 true 的新憑證授權單位的憑證。

   建立名為 tenant-1-ca-certificate.yaml 的檔案，內容如下

   # tenant-1-ca-certificate.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: tenant-1-ca-certificate
     namespace: tenant-1
   spec:
     isCA: true
     commonName: tenant-1-ca
     secretName: tenant-1-ca-tls
     duration: 70128h # 8y
     privateKey:
       algorithm: ECDSA
       size: 256
     issuerRef:
       name: selfsigned-root
       kind: ClusterIssuer
       group: cert-manager.io
   

   重要

   spec.issueRef.name 必須與設定 cert-manager時建立的 ClusterIssuer 名稱相符。如果您指定了不同的 ClusterIssuer 名稱，或使用與指南不同的 Issuer，請修改 issuerRef 以符合您的環境。

3. 套用資源

   kubectl apply -f tenant-1-ca-certificate.yaml
   

2) 建立 Issuer

Issuer 會在租戶命名空間內發出憑證。

1. 產生 Issuer 的資源定義。

   建立名為 tenant-1-ca-issuer.yaml 的檔案，內容如下

   # tenant-1-ca-issuer.yaml
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: tenant-1-ca-issuer
     namespace: tenant-1
   spec:
     ca:
       secretName: tenant-1-ca-tls
   

2. 套用 Issuer 資源定義

   kubectl apply -f tenant-1-ca-issuer.yaml
   

3) 建立租戶憑證

要求 cert-manager 為 MinIO 發出新的 TLS 伺服器憑證。憑證必須對以下 DNS 網域有效

• minio.<命名空間>

• minio.<命名空間>.svc

• minio.<命名空間>.svc.<叢集 網域>

• *.<租戶名稱>-hl.<命名空間>.svc.<叢集 網域>

• *.<命名空間>.svc.<叢集 網域>

• *.<tenant-name>.minio.<namespace>.svc.<cluster domain>'

1. 為指定的網域請求 Certificate

   建立一個名為 tenant-1-minio-certificate.yaml 的檔案。檔案內容應與下列類似，並修改以反映您的叢集和租戶設定

   # tenant-1-minio-certificate.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: tenant-certmanager-cert
     namespace: tenant-1
   spec:
     dnsNames:
       - "minio.tenant-1"
       - "minio.tenant-1.svc"
       - 'minio.tenant-1.svc.cluster.local'
       - '*.minio.tenant-1.svc.cluster.local'
       - '*.myminio-hl.tenant-1.svc.cluster.local'
       - '*.myminio.minio.tenant-1.svc.cluster.local'
     secretName: myminio-tls
     issuerRef:
       name: tenant-1-ca-issuer
   

   提示

   在此範例中，租戶名稱為 myminio。我們建議依照命名慣例，將 spec.secretName 欄位中的密碼命名為 <tenant-name>-tls。

2. 套用憑證資源

   kubectl apply -f tenant-1-minio-certificate.yaml
   

3. 驗證變更是否生效

   kubectl describe secret/myminio-tls -n tenant-1
   

   注意

   • 將 tenant-1 替換為您的租戶的命名空間。

   • 如果您的密碼名稱不同，請將 myminio-tls 替換為您的密碼名稱。

4) 使用 cert-manager 部署租戶以進行 TLS 憑證管理

部署租戶時，您必須設定 TLS 設定，使得

• 租戶不會自動產生自己的憑證 (spec.requestAutoCert: false) 和

• 租戶具有有效的 cert-manager 參考 (spec.externalCertSecret)

這會指示 Operator 獨佔使用 cert-manager 憑證部署租戶。

以下 YAML spec 提供符合這些需求的基本設定

apiVersion: minio.min.io/v2
kind: Tenant
metadata:
  name: myminio
  namespace: tenant-1
spec:
...
  ## Disable default tls certificates.
  requestAutoCert: false
  ## Use certificates generated by cert-manager.
  externalCertSecret:
    - name: myminio-tls
      type: cert-manager.io/v1
...

5) 信任 MinIO Operator 中的租戶 CA

MinIO Operator 預設不信任租戶的 CA。若要信任租戶的 CA，您必須將憑證以密碼的形式傳遞至 Operator。

若要執行此操作，請在 minio-operator 命名空間中建立一個以 operator-ca-tls- 為前綴，後接唯一識別碼的密碼。

MinIO Operator 會掛載並信任所提供憑證授權單位發行的所有憑證。這是必要的，因為 MinIO Operator 會使用 /minio/health/cluster 端點執行健康情況檢查。

6) 部署租戶

在租戶的命名空間中準備好憑證授權單位和 Issuer 後，您現在可以部署物件儲存租戶。

使用修改過的基本租戶 YAML 來停用 AutoCert 並參考您產生的密碼。