Etcd教程 — 第四章 Etcd集群安全配置_etcd 集群配置(2)

最新推荐文章于 2024-08-08 20:45:44 发布
最新推荐文章于 2024-08-08 20:45:44 发布
阅读量486 收藏 7
点赞数 5
分类专栏： 程序员 文章标签： etcd 安全 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84969054/article/details/138964671
版权 

### 3 TLS 加密实践


#### 3.1 介绍


`client certificate`： 用于服务端认证客户端,例如etcdctl、etcd proxy、fleetctl、docker客户端。  
 `server certificate`: 服务端使用，客户端以此验证服务端身份,例如docker服务端、kube-apiserver。  
 `peer certificate`: 双向证书，用于etcd集群成员间通信。


#### 3.2 配置CA并创建TLS证书



> 
> 仅需要在单个节点上生成相关证书即可，然后再把证书复制到其他节点上。
> 
> 
> 


##### 3.2.1 创建ca配置文件 (ca-config.json)


`"ca-config.json"`：可以定义多个 profiles，分别指定不同的过期时间、使用场景等参数；后续在签名证书时使用某个 profile；


`"signing"`：表示该证书可用于签名其它证书；生成的 ca.pem 证书中 CA=TRUE；


`"server auth"`：表示client可以用该 CA 对server提供的证书进行验证；


`"client auth"`：表示server可以用该CA对client提供的证书进行验证；


在 `/opt/cfssl/` 下创建配置文件



> 
> vim ca-config.json
> 
> 
>

{
“signing”: {
“default”: {
“expiry”: “87600h”
},
“profiles”: {
“etcd”: {
“expiry”: “87600h”,
“usages”: [
“signing”,
“key encipherment”,
“server auth”,
“client auth”
]
}
}
}
}


##### 3.2.2 创建ca证书签名(ca-csr.json)


“CN”：Common Name，从证书中提取该字段作为请求的用户名 (User Name)；浏览器使用该字段验证网站是否合法；  
 “O”：Organization，从证书中提取该字段作为请求用户所属的组 (Group)；  
 这两个参数在后面的kubernetes启用RBAC模式中很重要，因为需要设置kubelet、admin等角色权限，那么在配置证书的时候就必须配置对了，具体后面在部署kubernetes的时候会进行讲解。  
 “在etcd这两个参数没太大的重要意义，跟着配置就好。”


创建配置文件



> 
> vim ca-csr.json
> 
> 
>

{
“CN”: “etcd CA”,
“key”: {
“algo”: “rsa”,
“size”: 2048
},
“names”: [
{
“C”: “CN”,
“L”: “shanghai”,
“ST”: “shanghai”
}
]
}


##### 3.2.3 生成ca证书和私钥

cfssl gencert -initca ca-csr.json | cfssljson -bare ca

ls
ca-config.json ca-csr.json ca.csr ca.pem(ca公钥) ca-key.pem(ca私钥,妥善保管)


#### 3.3 生成etcd server端证书


##### 3.3.1 新建ca配置文件 (server-csr.json)



> 
> vim server-csr.json
> 
> 
>

{
“CN”: “etcd”,
“key”: {
“algo”: “rsa”,
“size”: 2048
},
“hosts”: [
“192.168.1.221”,
“192.168.1.222”,
“192.168.1.223”
],
“names”: [
{
“C”: “CN”,
“L”: “shanghai”,
“ST”: “shanghai”
}
]
}


##### 3.3.2 生成etcd server证书和私钥

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=etcd server-csr.json | cfssljson -bare server

ls
ca-config.json ca-csr.json ca-key.pem ca.csr ca.pem server-csr.json server-key.pem server.csr server.pem


#### 3.4 复制证书到另外两台主机



> 
> 将证书放到其他节点的同个位置上。
> 
> 
> 


### 4 Etcd集群加入TLS证书


#### 4.1 Etcd集群各节点信息


![在这里插入图片描述](https://img-blog.csdnimg.cn/fd075212e81448e5ac57cbbe49474408.png#pic_center)


#### 4.2 Etcd集群各节点配置


编辑各节点上的配置文件

vim /etc/etcd/etcd.conf


加入TLS证书的配置

[Security]

ETCD_TRUSTED_CA_FILE=“/opt/cfssl/ca.pem”
ETCD_CERT_FILE=“/opt/cfssl/server.pem”
ETCD_KEY_FILE=“/opt/cfssl/server-key.pem”
ETCD_PEER_TRUSTED_CA_FILE=“/opt/cfssl/ca.pem”
ETCD_PEER_CERT_FILE=“/opt/cfssl/server.pem”
ETCD_PEER_KEY_FILE=“/opt/cfssl/server-key.pem”

ETCD_CLIENT_CERT_AUTH=“true”
ETCD_AUTO_TLS=“true”
ETCD_PEER_CLIENT_CERT_AUTH=“true”
ETCD_PEER_AUTO_TLS=“true”


##### 4.2.1 节点1完整配置

#########################################################
########### 请根据各节点服务器实际情况修改配置 ############
#########################################################
#[Member]
#1.节点名称，必须唯一
ETCD_NAME=“etcd01”

#2.设置数据保存的目录
ETCD_DATA_DIR=“/var/lib/etcd”

#3.本节点机器用于监听其他节点的url，url是本机上的2380
ETCD_LISTEN_PEER_URLS=“http://192.168.1.221:2380”

#4.建议本节点用于和其他节点之间通信的url，且会通告集群的其余成员节点
ETCD_INITIAL_ADVERTISE_PEER_URLS=“http://192.168.1.221:2380”

#5.本节点机器用于和客户端通信的url，url是本机上的 2379
ETCD_LISTEN_CLIENT_URLS=“http://192.168.1.221:2379,http://127.0.0.1:2379”

#[Clustering]
#6.建议本节点和客户端通信使用的url
ETCD_ADVERTISE_CLIENT_URLS=“http://192.168.1.221:2379”

#7.集群中所有节点的信息
ETCD_INITIAL_CLUSTER=“etcd01=http://192.168.1.221:2380,etcd02=http://192.168.1.222:2380,etcd03=http://192.168.1.223:2380”

#8.创建集群的token，这个值每个集群均相同
ETCD_INITIAL_CLUSTER_TOKEN=“148e7b13-51fc-4cc8-965b-a7c9d58c18f5”

#9.初始集群状态，新建集群的时候，这个值为new,后续再启动时需要将“new”更改为“existing”
ETCD_INITIAL_CLUSTER_STATE=“new”

#10.flannel操作etcd使用的是v2的API，而kubernetes操作etcd使用的v3的API

为了兼容flannel，将默认开启v2版本，故配置文件中设置

ETCD_ENABLE_V2=“true”

[Security]

ETCD_TRUSTED_CA_FILE=“/opt/cfssl/ca.pem”
ETCD_CERT_FILE=“/opt/cfssl/server.pem”
ETCD_KEY_FILE=“/opt/cfssl/server-key.pem”
ETCD_PEER_TRUSTED_CA_FILE=“/opt/cfssl/ca.pem”
ETCD_PEER_CERT_FILE=“/opt/cfssl/server.pem”
ETCD_PEER_KEY_FILE=“/opt/cfssl/server-key.pem”

ETCD_CLIENT_CERT_AUTH=“true”
ETCD_AUTO_TLS=“true”
ETCD_PEER_CLIENT_CERT_AUTH=“true”
ETCD_PEER_AUTO_TLS=“true”


##### 4.2.2 节点2完整配置

#########################################################
########### 请根据各节点服务器实际情况修改配置 ############
#########################################################
#[Member]
#1.节点名称，必须唯一
ETCD_NAME=“etcd02”

#2.设置数据保存的目录
ETCD_DATA_DIR=“/var/lib/etcd”

#3.本节点机器用于监听其他节点的url，url是本机上的2380
ETCD_LISTEN_PEER_URLS=“http://192.168.1.222:2380”

#4.建议本节点用于和其他节点之间通信的url，且会通告集群的其余成员节点
ETCD_INITIAL_ADVERTISE_PEER_URLS=“http://192.168.1.222:2380”

#5.本节点机器用于和客户端通信的url，url是本机上的 2379
ETCD_LISTEN_CLIENT_URLS=“http://192.168.1.222:2379,http://127.0.0.1:2379”

#[Clustering]
#6.建议本节点和客户端通信使用的url
ETCD_ADVERTISE_CLIENT_URLS=“http://192.168.1.222:2379”

#7.集群中所有节点的信息
ETCD_INITIAL_CLUSTER=“etcd01=http://192.168.1.221:2380,etcd02=http://192.168.1.222:2380,etcd03=http://192.168.1.223:2380”

学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：
在这里插入图片描述

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！


## 最后

**自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。**

**深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**

**因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。**

![img](https://img-blog.csdnimg.cn/img_convert/ba98ad8d66ec8cdeeee28211b2cb06d1.png)

![img](https://img-blog.csdnimg.cn/img_convert/dab91809cd59d186443dcaf471252bfd.png)

![img](https://img-blog.csdnimg.cn/img_convert/0e07277b21a79f7eb7d18b3ab9ae1cb0.png)

![img](https://img-blog.csdnimg.cn/img_convert/d1865182aa10a3ea7a21c54bf1710481.png)

![img](https://img-blog.csdnimg.cn/img_convert/4bec4b72c26662a66f4b0b55673b2c39.png)

 

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！**

[**如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！**](https://bbs.csdn.net/topics/618653875)

**由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**

0964)]

[外链图片转存中...(img-yR0VmHAa-1715846090965)]

[外链图片转存中...(img-QwMIQaUU-1715846090965)]

[外链图片转存中...(img-LMiycd3c-1715846090965)]

 

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！**

[**如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！**](https://bbs.csdn.net/topics/618653875)

**由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**
2401_84969054
关注
专栏目录
Etcd教程 — 第四章 Etcd集群安全配置_etcd 集群配置
2401_84239625的博客
04-28 1133
本文是在Etcd教程 — 第二章 Etcd集群静态发现 2.3节基础上进行的。： 用于服务端认证客户端,例如etcdctl、etcd proxy、fleetctl、docker客户端。: 服务端使用，客户端以此验证服务端身份,例如docker服务端、kube-apiserver。: 双向证书，用于etcd集群成员间通信。
etcd3.7.2集群搭建（静态配置）
wzz_ccr的博客
09-13 1339
etcd集群分为静态配置，etcd发现，dns发现三种，本文操作为手动静态配置 ---------------------------------------------------------------------------------------------------------------------------- 环境： centos7 node-1:192.168.1.17
为etcd集群生成TLS证书
Niklauson的博客
08-02 487
etcd集群认证生成
etcd: 集群配置
amadeus_liu2的博客
04-02 173
1.配置文件 name: etcd-1 data-dir: /data/etcd listen-client-urls: http://0.0.0.0:2379 advertise-client-urls: http://188.131.172.xx:2379 listen-peer-urls: http://0.0.0.0:2380 initial-advertise-peer-urls: http://188.131.172.xx:2380 initial-cluster: etcd-1=h
Etcd教程 — 第四章 Etcd集群安全配置
Mr_XiMu的博客
06-22 3446
Etcd教程 — 第四章 Etcd集群安全配置
etcd构建自身高可用集群
Lzxccas的博客
01-05 676
概述 1.etcd构建自身高可用集群主要有三种形式** 1.静态发现 预先已知etcd集群中有哪些节点，在启动时通过–initial-cluster参数直接指定好etcd的各个节点地址 2.etcd动态发现 静态配置前提是在搭建集群之前已经提前知道各节点的信息，而实际应用中可能存在预先并不知道各节点ip的情况， 这时可通过已经搭建的etcd来辅助搭建新的etcd集群。通过已有的etcd集群作为数据交互点，然后在扩展新的集群时 实现通过已有集群进行服务发现的机制。比如官方提供的：discovery.etcd.
Etcd教程 — 第四章 Etcd集群安全配置_etcd 集群配置，网络安全开发工程师面试题
2401_83947434的博客
04-15 777
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。这两个参数在后面的kubernetes启用RBAC模式中很重要，因为需要设置kubelet、admin等角色权限，那么在配置证书的时候就必须配置对了，具体后面在部署kubernetes的时候会进行讲解。
Kubernetes集群部署教程-ETCD集群部署
guting18893110463的博客
04-10 1130
Etcd 是一个分布式键值存储系统，Kubernetes使用Etcd进行数据存储，所以先准备一个Etcd数据库，为解决Etcd单点故障，应采用集群方式部署
k8s外接etcd集群服务异常，使用snapshot恢复etcd集群
wenbo885的博客
12-31 1180
2：etcd的数据计划存储在/var/lib/etcd/目录下，所以删除etcd集群中每个节点/var/lib/etcd/目录下的数据，确保/var/lib/etcd/是空目录，或者/var/lib/etcd/是新创建的目录。生产环境中我们为了避免出现误操作或者是服务器硬件出见异常导致宕机，我们的虚拟机或者k8s集群崩溃，所以我们都会创建多节点的高可用集群，包括k8s集群使用外接etcd集群，但有时也可能出现数据丢失，所以经常要备份数据。4：查看服务状态，以及etcd服务是否启动，集群是否正常。
网络安全行业需要学历吗？需要考研吗？(1)
2401_84239830的博客
04-27 352
👉👈​。
etcd集群部署
wyl9527的博客
05-26 1502
etcd是一个Go语言编写的分布式、高可用的一致性键值存储系统,用于提供可靠的分布式键值(keyvalue)存储、配置共享和服务发现等功能。etcd官网文档地址。
etcd集群搭建使用
robinhunan的博客
12-09 2610
ETCD是用于共享配置和服务发现的分布式，一致性的KV存储系统。ETCD是CoreOS公司发起的一个开源项目，授权协议为Apache。
etcd集群配置
junzixing1985的博客
05-19 1720
简介： etcd：key-value键值存储数据库，用来存储kubernetes的信息的。 部署规划 这里我用3台服务器搭建一个简单的集群： 192.168.0.157 # master节点 192.168.0.158 # node节点 192.168.0.159 # node节点 1 、三个节点安装 etcd yum install etcd -y 2、etcd集群配置 ...
etcd高可用集群部署
最新发布
the_coco的博客
08-08 1254
在生产环境中，为了整个集群的高可用，etcd 正常都会集群部署，避免单点故障。
01-ETCD集群部署
qq_16125927的博客
01-04 1369
大意：etcd 是兼具一致性和高可用性的键值数据库，可以作为保存 Kubernetes 所有集群数据的后台数据库。
etcd集群搭建
我的博客
03-04 271
etcd是一种以key-value形式的分布式存储。 etcd配置: name etcd1 名称各个节点都是唯一的 client 配置: listen-client-urls http://127.0.0.1:2379 监听client advertise-client-urls http://127.0....
ETCD集群部署
小单的博客专栏
03-13 4614
ETCD集群部署+flannel 附件 /opt/soft/etcd/etcd-v3.4.4-linux-amd64.tar.gz 下载地址：https://github.com/etcd-io/etcd/releases 服务器 192.168.1.54、192.168.1.65、192.168.1.105 安装 1、解压包(每台机器) ETCD_VER=v3.4.4 cd /opt/soft/...
ETCD集群管理，看这一篇干货就够了
gjjumin的专栏
12-19 1029
etcd集群的管理，一种是etcd单独部署的，一种是在kubernetes上pod跑的etcd机器，两种集群使用不同的工具管理
Etcd教程 — 第四章 Etcd集群安全配置_etcd 集群配置(1)
2401_84969291的博客
05-12 648
本文是在 Etcd教程 — 第二章 Etcd集群静态发现 2.3节 基础上进行的。： 用于服务端认证客户端,例如etcdctl、etcd proxy、fleetctl、docker客户端。: 服务端使用，客户端以此验证服务端身份,例如docker服务端、kube-apiserver。: 双向证书，用于etcd集群成员间通信。
etcd 3节点集群配置
05-25
以下是配置 etcd 3 节点集群的步骤： 1. 安装 etcd 在每个节点上安装 etcd。具体步骤可以参考 etcd 的官方文档。 2. 修改配置文件 在每个节点上修改 etcd 的配置文件，一般位于 /etc/etcd/etcd.conf： ``` # ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值