Compartilhar via

Conectar certificados de AC para complemento de malha de serviço baseado no Istio no Serviço de Kubernetes do Azure

No complemento de malha de serviço baseado no Istio para Serviço de Kubernetes do Azure, por padrão, a autoridade de certificação (AC) do Istio gera um certificado raiz autoassinado e uma chave e os usa para assinar os certificados de carga de trabalho. Para proteger a chave de AC raiz, você deve usar uma AC raiz, que é executada em um computador seguro offline. Você pode usar a AC raiz para emitir certificados intermediários para as CAs do Istio executadas em cada cluster. Uma AC do Istio pode assinar certificados de carga de trabalho usando o certificado e a chave especificados pelo administrador e distribuir um certificado raiz especificado pelo administrador para as cargas de trabalho como a raiz de confiança. Este artigo aborda como trazer seus próprios certificados e chaves para a AC do Istio no complemento de malha de serviço baseado em Istio para Serviço de Kubernetes do Azure.

Diagrama que mostra a AC raiz e intermediária com o Istio.

Este artigo aborda como você pode configurar a autoridade de certificação do Istio com um certificado raiz, um certificado de autenticação e uma chave fornecida como entradas usando o Azure Key Vault para o complemento de malha de serviço baseado em Istio.

Antes de começar

Verificar a versão da CLI do Azure

O complemento exige a CLI do Azure versão 2.57.0 ou posterior instalada. Execute az --version para verificar a versão. Se você precisar instalar ou atualizar, consulte [Instalar a CLI do Azure][azure-cli-install].

Configurar o Azure Key Vault

  1. Você precisa de um recurso do Azure Key Vault para fornecer o certificado e as principais entradas para o complemento do Istio.

  2. Você precisa gerar certificado raiz, certificados intermediários, chave intermediária e a cadeia de certificados offline. As etapas 1 a 3 de aqui tem um exemplo de como gerar esses arquivos.

  3. Crie segredos no Azure Key Vault usando os certificados e a chave:

    az keyvault secret set --vault-name $AKV_NAME --name root-cert --file <path-to-folder/root-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-cert --file <path-to-folder/ca-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-key --file <path-to-folder/ca-key.pem>
az keyvault secret set --vault-name $AKV_NAME --name cert-chain --file <path-to-folder/cert-chain.pem>

  4. Habilite o provedor do Azure Key Vault para o Driver CSI do Repositório Secreto para seu cluster:

    az aks enable-addons --addons azure-keyvault-secrets-provider --resource-group $RESOURCE_GROUP --name $CLUSTER

    Observação

    Ao rotacionar certificados, para controlar a rapidez com que os segredos são sincronizados com o cluster, você poderá usar o parâmetro --rotation-poll-interval do complemento Provedor de Segredos do Azure Key Vault. Por exemplo: az aks addon update --resource-group $RESOURCE_GROUP --name $CLUSTER --addon azure-keyvault-secrets-provider --enable-secret-rotation --rotation-poll-interval 20s

  5. Se o Key Vault estiver usando o RBAC do Azure para o modelo de permissões, siga as instruções aqui para atribuir uma função do Azure de Usuário de Segredos do Key Vault para a identidade gerenciada atribuída pelo usuário do complemento. Alternativamente, se o seu cofre de chaves estiver usando o modelo de permissões de política de acesso ao cofre, autorize a identidade gerenciada atribuída pelo usuário do complemento a acessar o recurso do Azure Key Vault usando a política de acesso:

    OBJECT_ID=$(az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER --query 'addonProfiles.azureKeyvaultSecretsProvider.identity.objectId' -o tsv)

az keyvault set-policy --name $AKV_NAME --object-id $OBJECT_ID --secret-permissions get

Configurar o complemento de malha de serviço baseado em Istio com certificados de AC de plug-in

  1. Habilite o complemento de malha de serviço do Istio para o cluster do AKS existente enquanto faz referência aos segredos do Azure Key Vault que foram criados anteriormente:

    az aks mesh enable --resource-group $RESOURCE_GROUP --name $CLUSTER \
--root-cert-object-name root-cert \
--ca-cert-object-name ca-cert \
--ca-key-object-name ca-key \
--cert-chain-object-name cert-chain \
--key-vault-id /subscriptions/$SUBSCRIPTION/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.KeyVault/vaults/$AKV_NAME

    Observação

    Para os clusters existentes com o complemento do Istio que usam certificado raiz autoassinado gerado pela AC do Istio, a mudança para a CA do plug-in não é suportada. Você precisa primeiro desabilitar a malha nesses clusters e depois habilitá-la novamente usando o comando acima para passar pelas entradas da AC do plugin.

  2. Verifique se o painel de controle do Istio selecionou a autoridade de certificação personalizada:

    kubectl logs deploy/istiod-asm-1-17 -c discovery -n aks-istio-system | grep -v validationController | grep x509

    A saída esperada deve ser semelhante a:

    2023-11-06T15:49:15.493732Z     info    x509 cert - Issuer: "CN=Intermediate CA - A1,O=Istio,L=cluster-A1", Subject: "", SN: e191d220af347c7e164ec418d75ed19e, NotBefore: "2023-11-06T15:47:15Z", NotAfter: "2033-11-03T15:49:15Z"
2023-11-06T15:49:15.493764Z     info    x509 cert - Issuer: "CN=Root A,O=Istio", Subject: "CN=Intermediate CA - A1,O=Istio,L=cluster-A1", SN: 885034cba2894f61036f2956fd9d0ed337dc636, NotBefore: "2023-11-04T01:40:02Z", NotAfter: "2033-11-01T01:40:02Z"
2023-11-06T15:49:15.493795Z     info    x509 cert - Issuer: "CN=Root A,O=Istio", Subject: "CN=Root A,O=Istio", SN: 18e2ee4089c5a7363ec306627d21d9bb212bed3e, NotBefore: "2023-11-04T01:38:27Z", NotAfter: "2033-11-01T01:38:27Z"

Rotação da autoridade de certificação

Talvez seja necessário rotacionar periodicamente as autoridades de certificação por motivos de segurança ou política. Esta seção orienta você sobre como lidar com cenários de rotação de AC intermediária e AC raiz.

Rotação de autoridade de certificação intermediária

  1. Você pode girar a AC intermediária enquanto mantém a mesma AC raiz. Atualize os segredos no recurso do Azure Key Vault com os novos arquivos de certificado e chave:

    az keyvault secret set --vault-name $AKV_NAME --name root-cert --file <path-to-folder/root-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-cert --file <path-to-folder/ca-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-key --file <path-to-folder/ca-key.pem>
az keyvault secret set --vault-name $AKV_NAME --name cert-chain --file <path/cert-chain.pem>

  2. Aguarde a duração do tempo de --rotation-poll-interval. Verifique se os certificados foram atualizados no cluster com base na nova AC intermediária que foi atualizada no recurso do Azure Key Vault:

    kubectl logs deploy/istiod-asm-1-17 -c discovery -n aks-istio-system | grep -v validationController

    A saída esperada deve ser semelhante a:

    2023-11-07T06:16:21.091844Z     info    Update Istiod cacerts
2023-11-07T06:16:21.091901Z     info    Using istiod file format for signing ca files
2023-11-07T06:16:21.354423Z     info    Istiod has detected the newly added intermediate CA and updated its key and certs accordingly
2023-11-07T06:16:21.354910Z     info    x509 cert - Issuer: "CN=Intermediate CA - A2,O=Istio,L=cluster-A2", Subject: "", SN: b2753c6a23b54d8364e780bf664672ce, NotBefore: "2023-11-07T06:14:21Z", NotAfter: "2033-11-04T06:16:21Z"
2023-11-07T06:16:21.354967Z     info    x509 cert - Issuer: "CN=Root A,O=Istio", Subject: "CN=Intermediate CA - A2,O=Istio,L=cluster-A2", SN: 17f36ace6496ac2df88e15878610a0725bcf8ae9, NotBefore: "2023-11-04T01:40:22Z", NotAfter: "2033-11-01T01:40:22Z"
2023-11-07T06:16:21.355007Z     info    x509 cert - Issuer: "CN=Root A,O=Istio", Subject: "CN=Root A,O=Istio", SN: 18e2ee4089c5a7363ec306627d21d9bb212bed3e, NotBefore: "2023-11-04T01:38:27Z", NotAfter: "2033-11-01T01:38:27Z"
2023-11-07T06:16:21.355012Z     info    Istiod certificates are reloaded

  3. As cargas de trabalho recebem certificados do painel de controle do Istio válidos por 24 horas por padrão. Se você não reiniciar os pods, todas as cargas de trabalho obterão novos certificados folha com base na nova AC intermediária em 24 horas. Se quiser forçar todas essas cargas de trabalho a obter novos certificados folha imediatamente da nova AC intermediária, será necessário reiniciar as cargas de trabalho.

    kubectl rollout restart deployment <deployment name> -n <deployment namespace>

Rotação de autoridade de certificação raiz

  1. Você precisa atualizar os segredos do Azure Key Vault com o arquivo de certificado raiz tendo a concatenação dos certificados raiz antigos e novos:

    az keyvault secret set --vault-name $AKV_NAME --name root-cert --file <path-to-folder/root-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-cert --file <path-to-folder/ca-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-key --file <path-to-folder/ca-key.pem>
az keyvault secret set --vault-name $AKV_NAME --name cert-chain --file <path/cert-chain.pem>

    O conteúdo de root-cert.pem segue este formato:

    -----BEGIN CERTIFICATE-----
<contents of old root certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<contents of new root certificate>
-----END CERTIFICATE-----

    Verifique os logs istiod assim que os certificados forem sincronizados com o cluster.

    kubectl logs deploy/istiod-asm-1-17 -c discovery -n aks-istio-system

    Saída esperada:

    2023-11-07T06:42:00.287916Z     info    Updating new ROOT-CA
2023-11-07T06:42:00.287928Z     info    update root cert and generate new dns certs
2023-11-07T06:42:00.288254Z     info    Update trust anchor with new root cert
2023-11-07T06:42:00.288279Z     info    trustBundle     updating Source IstioCA with certs
2023-11-07T06:42:00.288298Z     info    Istiod has detected the newly added intermediate CA and updated its key and certs accordingly
2023-11-07T06:42:00.288303Z     info    Istiod certificates are reloaded

  2. Você precisa aguardar 24 horas (o tempo padrão para a validade do certificado folha) ou forçar a reinicialização de todas as cargas de trabalho. Dessa forma, todas as cargas de trabalho reconhecem as autoridades de certificação antigas e novas para verificação mTLS.

    kubectl rollout restart deployment <deployment name> -n <deployment namespace>

  3. Agora você pode atualizar os segredos do Azure Key Vault somente com a nova AC (sem a AC antiga):

    az keyvault secret set --vault-name $AKV_NAME --name root-cert --file <path-to-folder/root-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-cert --file <path-to-folder/ca-cert.pem>
az keyvault secret set --vault-name $AKV_NAME --name ca-key --file <path-to-folder/ca-key.pem>
az keyvault secret set --vault-name $AKV_NAME --name cert-chain --file <path/cert-chain.pem>

    Verifique os logs istiod assim que os certificados forem sincronizados com o cluster.

    kubectl logs deploy/istiod-asm-1-17 -c discovery -n aks-istio-system | grep -v validationController

    Saída esperada:

    2023-11-07T08:01:17.780299Z     info    x509 cert - Issuer: "CN=Intermediate CA - B1,O=Istio,L=cluster-B1", Subject: "", SN: 1159747c72cc7ac7a54880cd49b8df0a, NotBefore: "2023-11-07T07:59:17Z", NotAfter: "2033-11-04T08:01:17Z"
2023-11-07T08:01:17.780330Z     info    x509 cert - Issuer: "CN=Root B,O=Istio", Subject: "CN=Intermediate CA - B1,O=Istio,L=cluster-B1", SN: 2aba0c438652a1f9beae4249457023013948c7e2, NotBefore: "2023-11-04T01:42:12Z", NotAfter: "2033-11-01T01:42:12Z"
2023-11-07T08:01:17.780345Z     info    x509 cert - Issuer: "CN=Root B,O=Istio", Subject: "CN=Root B,O=Istio", SN: 3f9da6ddc4cb03749c3f43243a4b701ce5eb4e96, NotBefore: "2023-11-04T01:41:54Z", NotAfter: "2033-11-01T01:41:54Z"

    Nas saídas de exemplo mostradas neste artigo, você pode observar que mudamos da Raiz A (usada ao habilitar o complemento) para a Raiz B.

  • Last updated on