更新华为CCE域名证书方法

已于 2023-04-26 20:14:26 修改
阅读量1.3k 收藏
点赞数 1
文章标签： kubernetes 华为云 linux centos
于 2022-09-15 11:25:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44770684/article/details/126866077
版权

目录

一、背景

二、创建CCE证书

三、替换证书

四、更新完成的结果

五、确认负载均衡证书同步

六、确认证书已更新成功

一、背景

         华为云CCE集群（k8s）有多个域名，域名（泛域名）都使用同一个SSL证书，并且还使用到了华为云ELB负载均衡的https协议，即在华为云负载均衡也配置了相同的SSL证书。

        需要注意的是CCE的SSL证书会自动同步ELB负载均衡SSL证书，保持负载均衡ELB的证书和CCE的证书保持一致。

        若是仅仅更换负载均衡ELB的SSL证书，那么不会生效。假如证书即将到期，你更新负载均衡ELB的SSL证书，但是忘记了更新CCE的SSL证书，那么域名会提示不安全，毕竟新的SSL证书没有生效，而此时仍然使用的是旧的过期SSL证书，所以会提示域名不安全。

        最简单的做法是，只需要更新CCE的SSL证书即可。

二、创建CCE证书

         登录华为云CCE，添加secret，选择的类型是 IngressTLS，即用来保存SSL证书，在kubernetes，ssl保存在secret中，ingress通过引用secret来实现关联ssl。最后将ingres的secret名字替换成新添加的密钥secret 密钥名称，这种方法比较保守，若是过程中密钥信息有误，可以通过恢复ingress旧的密钥名称，来实现使用旧SSL证书。

        直接修改旧的secret证书信息，只需要选中在使用的密钥名称，点击更新，然后上传SSL证书的证书文件crt和key文件就完成了CCE证书更新。

 

三、替换证书

        打开CCE网络管理，选中ingress 以及指定集群和服务的命名空间，就可以看到相关的ingress配置的域名了。我的环境是泛域名，全部域名使用同一个证书，所以我的服务证书名字是相同的，所以需要依次更新各个ingress的服务正式，我实际的操作是通过命令行修改的。

        命令行使用简单说明，该命名空间的所有ingress的域名都是使用相同的SSL证书，则更便捷的方法是，登录安装有kubectl工具，并且可以正常访问和操作该CCE（k8s）集群的服务器，通过kubectl edit  ingress 结合sed 等shell命令批量更新ingress的ssl证书名字，这里我就不演示了。

        在ingress中，服务证书名字相同的，说明使用使用https协议并且使用的证书是一样的，服务证书名字为空的，说明该域名是使用的是http协议不要使用ssl证书。

        选择对应的域名，点击更新操作，可以看到如下图信息：

四、更新完成的结果

        我的CCE环境由于是泛域名，所有域名都使用一样的SSL证书，所有服务器证书名字是一样的，更新完成后要再次确认服务器证书(SSL)名字是一样的，若是不同的域名使用不同的证书，则不同域名的ingress需要壹壹对应各自的证书名字。

五、确认负载均衡证书同步

        登录华为云负载均衡ELB查看对应域名的证书信息，可以发现更新时间发生了变化，和更新CCE证书时间基本是保持一致的。说明华为云https协议的负载均衡ELB会自动同步CCE的证书，并且以CCE证书为基准，保持负载均衡ELB的证书和CCE证书一致。

六、确认证书已更新成功

        更新完成CCE域名相关的证书后，最简单的验证SSL证书是否更新成功的方法就是，直接通过PC访问域名查看证书信息以及证书过期时间。

        在浏览地址栏输入域名访问，点击浏览器地址栏的锁图案(安全连接)查看域名证书信息。能正常通过域名访问，并且对应的域名有效期已成功改变为对应证书的有效时间，说明证书更新成功。

操作步骤：

        安全连接 --> 更多信息 --> 查看证书

@土豆
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
华为CCE部署-准备工作-文件系统创建脚本
01-13
一个针华为 cce部署前节点准备工作中创建各类宿主机文件系统的bash脚本，可传自定参数值或由ansible等传参给脚本，运行效率高于ansible roles
华为云CCE集群升级方案及实施步骤
04-30
华为云CCE（Cloud Container Engine）是华为提供的企业级Kubernetes集群服务，旨在提供高度可扩展、高性能的容器化应用管理平台。当现有的CCE集群版本不再受华为云支持时，为了保持最佳的运行状态和技术支持，就需要...
域名证书更新
mg0324的专栏
11-07 1055
2021-11-07 周天 因子 从15年买了云服务器开始，就开始折腾服务器这些事情。虽然买了域名，备案，ssl证书都得自己捯饬，才能让自己的个人项目跑在云端之上，也算是追赶上了全民上云的步伐。这不，每当到了双11期间，各种云服务商都在搞活动，这时候也是我更新ssl证书的时候了。 推荐一款免费域名解析服务：Free DNS service：https://dns.he.net/index.cgi 目的 因为是个人使用，所以使用免费的证书。 拥有一个自己的https域名支持，能支持自己的小程序合法请求。
windows server 2024，IIS10配置或更新域名SSL安全证书（https）_iis证书更新(1)
最新发布
2401_84264244的博客
05-13 1664
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察。
域名证书到期，如何通过nginx更换https证书
itScholar001的博客
05-25 3794
域名证书到期，拿着客户给的新证书文件在nginx中对证书进行替换。
域名证书续期 SSL证书如何续费
osfipin note
08-25 2176
SSL证书是数字证书的一种，类似于驾驶证、护照和营业执照的电子副本。因为配置在服务器上，也称为SSL服务器证书。SSL 证书就是遵守 SSL协议，由受信任的数字证书颁发机构CA，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。 忘记了更新SSL证书？ 如果服务器用户忘记了更新SSL证书，则会在用户屏幕上显示警告信息“网站的安全证书已过期。”犯罪分子就可以利用过期的SSL证书，并试...
windows server 2019，IIS10配置或更新域名SSL安全证书（https）
zrc_xiaoguo的博客
10-15 2620
如果是新站点，直接点击添加，如果是已有站点更新证书，则选择https对应的绑定项，点击“编辑”点击SS证书下的下拉框或者点击选择按钮选择指定的证书，默认阿里证书导入后名为“alias”打开“帮助”，查看“关于Internet信息服务”，查看IIS版本信息。浏览器网站https访问无警告，左侧小锁表示启用安全证书且证书有效。中间空白处右键选择 或者点击右上方操作内的“导入”在左侧选择指定网站，点击右侧“绑定”选项。配置完成后刷新网页就行了。
华为CCE在混合云、大规模场景下的技术探索.pdf
06-06
Docker是一种最流行的容器化实现方案。和虚拟化技术类似，它极大的方便了应用服务的部署； 又与虚拟化技术不同，它以一种更轻量的方式实现了应用服务的打包。  虚拟机是操作系统级别的资源隔离，容器本质上是进程...
有了这个网络安全面试题，面试就像开了挂！（附PDF）
lvaolan的博客
02-26 722
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！​​​​内容实在太多，不一一截图了。
ssl证书过期该怎么办？域名未过期证书却过期，该怎么办？
verry_body的博客
09-21 2789
1.ssl证书过期该怎么办？ 目前最新申请的证书大致都是在一年（即：365天），具体从什么时候开始证书只有一年时间，我记得是19年，具体的可以翻翻资料。 进入正题，证书过期后，通常执行续费即可，或者是重新申请，但是这种方法不推荐，重新申请，之前服务器配置好的证书，需要重新下载安装，有时候可能会导致其他无法预料的问题。 2.域名未过期证书却过期，该怎么办？ 这个问题很简单，一般域名有效期跟证书有效期是分开的，域名可以购买时间比较久，而证书现在最新申请的只有一年有效期，也就是说，域名过期，不影响证.
更新NGINX域名证书文件
weixin_44770684的博客
07-10 1481
b、直接使用火狐等浏览器点击浏览器地址栏的小锁头图标来查看证书到期时间已更新为2024年7月10日。2、上传新的域名证书文件分别替换旧的正式文件(名字保持和旧的名字一致，建议先备份)由于域名正式认证即将要到期，需要更新基于nginx的域名证书文件。1、查看对应域名使用的正式文件名。一、更新nginx域名证书文件。4、验证证书到期时间已更新。3、重启nginx服务器。
记录一则 线上域名证书更新及cdn证书更新
qq_58778333的博客
03-05 510
登录阿里云账号 搜索数字证书管理服务管理控制台 点击创建证书 输入你的域名 填写相关信息（注：域名验证方式选择文件验证） 等待审核通过（时间不久，一般为半小时内）点击下载 解压后会得到两个文件 .key和.pem 通过FTP（文件传输协议）软件 传到服务器对应目录下。记录审核通过的 fileauth.txt 文件 在项目运行根目录找到相同文件 替换里面的值。（服务器搜索文件命令 find / -name "fileauth.txt"）变为已签发 就可以进行下一步操作了。
certbot ssl泛域名免费证书自动申请更新及自动更新阿里云cdn
luanwuqingyang的专栏
10-18 794
certbot ssl泛域名证书自动申请更新及自动更新阿里云cdn
HTTPS证书到期更换
热门推荐
一起coding，一起嗨。
04-18 1万+
一、前期准备 1、梳理证书到期域名数量以及部署方式； 如 到期域名 部署方式 备注 www.test1.com nginx 官网 www.test2.com 阿里云CDN 静态资源加速 2、评估更换流程及时间； 申请新的SSL证书，吊销马上到期的证书(20分钟)； 下载新的证书(2分钟)； 修改配置(10分钟)； www.test1.com配置如下： server { listen 443 ssl;
免费https证书（泛域名的，自动续期）
小单的博客专栏
03-19 5863
实现目标：免费https证书，是泛域名的！泛域名的！就是那种*.baidu.com这种，内置自动续期！ certbot certbot 免费泛域名证书的生成，容器启动自动生成，容器自动证书自动续期（按官方证书即将到期的30天）。 目前支持阿里云 DNS、腾讯云 DNS、华为云 NDS、GoDaddy。 使用方法 命令代码 docker run -itd --name xzxiaoshan-cert...
更新Https证书
灵台方寸山斜月三星洞
04-30 775
Nginx 重新生成https证书 其他步骤直接看 FreeSSL.cn 创建免费 https 证书 关于验证文件 fileauth.txt 因为我们原本已经开启了HTTPS，所以这次创建证书时，验证文件这一步需要先关闭一下https。 确保这个路径能访问到：http://你的域名/.well-known/pki-validation/fileauth.txt 然后点击验证 注释掉：rewrite ^(.*)$ https://$host$1 permanent;这句。 杀死所有nginx进度 task
如何实现SSL证书自动部署、自动续费、自动更新？看这里~
wwwwestcn的博客
11-16 1003
2、westssl update 这个命令会自动检测当前服务器上所有证书的到期时间，如果离到期时间小于30天，或过期30天以内的，会自动调用西部数码SSL证书api接口，您必须在证书到期前的30个自然日内续费并更新证书，才能延长证书的服务时长。来检查相关的域名有没有新的证书颁发成功，如果有，则自动下载新证书进行替换，替换后会执行相关的命令来重启IIS/apache/ngix以使新证书生效。使用westssl工具需要设置ssl证书的专用api密钥,可以在"会员管理中心---账号管理---
华为云CCE集群证书配置
04-06
华为云CCE集群证书配置包括以下步骤： 1. 创建Kubernetes证书 Kubernetes证书包括以下几种类型： - CA证书：用于签发其他证书的根证书 - API Server证书：用于安全的API访问 - Kubelet证书：用于节点安全访问 - Service Account证书：用于Kubernetes服务账号的安全访问 可以通过openssl命令生成证书： - CA证书： openssl genrsa -out ca.key 2048 openssl req -new -key ca.key -out ca.csr openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt - API Server证书： openssl genrsa -out apiserver.key 2048 openssl req -new -key apiserver.key -out apiserver.csr -subj "/CN=kube-apiserver" openssl x509 -req -in apiserver.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out apiserver.crt -days 365 - Kubelet证书： openssl genrsa -out kubelet.key 2048 openssl req -new -key kubelet.key -out kubelet.csr -subj "/CN=kubelet" openssl x509 -req -in kubelet.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out kubelet.crt -days 365 - Service Account证书： openssl genrsa -out sa.key 2048 openssl req -new -key sa.key -out sa.csr -subj "/CN=kubernetes" openssl x509 -req -in sa.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out sa.crt -days 365 2. 创建Secret对象 在Kubernetes集群中，可以通过Secret对象来管理证书。 kubectl create secret generic kube-apiserver --from-file=apiserver.crt --from-file=apiserver.key --from-file=ca.crt kubectl create secret generic kubelet --from-file=kubelet.crt --from-file=kubelet.key --from-file=ca.crt kubectl create secret generic sa --from-file=sa.crt --from-file=sa.key 3. 配置CCE集群 在CCE集群中，可以通过ConfigMap对象来配置证书。 kubectl create configmap kube-apiserver --from-file=apiserver.crt --from-file=apiserver.key --from-file=ca.crt kubectl create configmap kubelet --from-file=kubelet.crt --from-file=kubelet.key --from-file=ca.crt kubectl create configmap sa --from-file=sa.crt --from-file=sa.key 4. 更新CCE集群配置 需要将ConfigMap对象的名称和Secret对象的名称更新到CCE集群的配置文件中。 apiVersion: v1 kind: Config clusters: - cluster: certificate-authority-data: <ca.crt base64 encoded> server: https://<cce-cluster-endpoint>:<cce-cluster-port> name: <cce-cluster-name> contexts: - context: cluster: <cce-cluster-name> user: <cce-cluster-user> name: <cce-cluster-name> current-context: <cce-cluster-name> users: - name: <cce-cluster-user> user: client-certificate-data: <sa.crt base64 encoded> client-key-data: <sa.key base64 encoded> contexts: - context: cluster: <cce-cluster-name> user: <cce-cluster-user> name: <cce-cluster-name> current-context: <cce-cluster-name> 5. 重新启动CCE集群 需要重新启动CCE集群，使新的配置生效。 以上就是华为云CCE集群证书配置的完整流程。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值