etcd cfssl证书认证实践

最新推荐文章于 2023-04-02 18:24:34 发布

weixin_32393865

最新推荐文章于 2023-04-02 18:24:34 发布

阅读量4.7k

点赞数 1

分类专栏： etcd 文章标签： etcd cfssl 运维 https

本文链接：https://blog.csdn.net/weixin_32393865/article/details/54174283

版权

本文详细介绍了如何在etcd中使用cfssl生成并管理ca、server和client证书，包括cfssl的安装、证书配置文件的创建以及etcd的证书使用示例，最后提到了openssl作为替代工具的使用方法。

摘要由CSDN通过智能技术生成

etcd推荐使用cfssl工具来生成证书进行验证

1、cfssl安装

以x86_64 Linux为例

mkdir ~/bin
curl -s -L -o ~/bin/cfssl https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
curl -s -L -o ~/bin/cfssljson https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
chmod +x ~/bin/{cfssl,cfssljson}
export PATH=$PATH:~/bin

离线安装的情况，直接把两个文件下载下来重命名即可

2、生成ca证书

生成ca的配置文件

mkdir ~/cfssl
cd ~/cfssl
cfssl print-defaults config > ca-config.json
cfssl print-defaults csr > ca-csr.json

三大证书类型介绍：
client certificate： is used to authenticate client by server. For example etcdctl, etcd proxy, fleetctl or docker clients.
server certificate： is used by server and verified by client for server identity. For example docker server or kube-apiserver.
peer certificate： is used by etcd cluster members as they communicate with each other in both ways.
三大证书都由CA证书进行签发

其中ca-config.json中的expiry: 这个属性是指定证书的有效时间

然后执行命令生成CA证书

cfssl gencert -initca ca-csr.json | cfssljson -bare ca -

会得到ca-key.pem、ca.csr、ca.pem；其中
Please keep ca-key.pem file in safe. This key allows to create any kind of certificates within your CA.
csr证书在这里面用不到。
至此，CA证书生成完毕，后面利用CA证书来生成server证书和client端的证书。