Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
SUR CETTE PAGE
 

Configurer l’authentification du plan de contrôle et de gestion avec le chiffrement TLS

RÉSUMÉ Cette rubrique explique comment configurer l’authentification du plan de gestion et de contrôle avec le chiffrement TLS dans CN2 version 22.4 ou ultérieure dans un environnement orchestré par Kubernetes.

Aperçu

CN2 prend en charge l’authentification des plans de gestion et de contrôle avec chiffrement TLS. Le protocole TLS est utilisé pour l’échange de certificats, l’authentification mutuelle et la négociation de chiffrements afin de protéger le flux contre toute altération et écoute clandestine.

Les certificats font partie du déploiement utilisé pour faire apparaître CN2. Dans Kubernetes, tous les certificats sont convertis en secrets. Par défaut, le certificat et les secrets du plan de contrôle Contrail et du vRouter sont automatiquement générés dans le ContrailCertificateManager CRD. Si vous le souhaitez, vous pouvez également créer des certificats pour d’autres composants, tels que Sandesh et le serveur API Contrail.

Vous pouvez générer des certificats à l’aide de l’un des outils suivants :

  • cert-manager (par défaut) : l’outil cert-manager ajoute des certificats en tant que types de ressources dans les clusters Kubernetes et simplifie le processus d’obtention, de renouvellement et d’utilisation de ces certificats. Par défaut, le certificat est valable 10 ans et se renouvelle automatiquement 15 jours avant sa date d’expiration.

  • go-crypto : go-crypto est un package cryptographique que vous pouvez utiliser pour générer des certificats. Cet ensemble est un générateur léger qui n’utilise pas de conteneurs. Par défaut, le certificat est valable 10 ans, mais n’est pas renouvelé automatiquement.

Considérations

Lisez cette liste de considérations avant de commencer la configuration :

  • Lorsqu’un certificat est renouvelé, vous devez redémarrer l’espace.

  • Vous devez activer le chiffrement TLS pour le plan de contrôle Contrail et vRouter, même si un certificat est fourni.

  • Si vous créez votre propre autorité de certification (CA), le secret doit contenir les clés tls.crt et tls.key.

Configurer le chiffrement TLS pour le plan de contrôle Contrail et vRouter

Suivez les étapes de cette procédure pour configurer facilement le chiffrement TLS pour le plan de contrôle Contrail et vRouter.

Note:

Par défaut, le chiffrement TLS est activé pour XMPP et introspect pour le contrôle et vRouter. Le XMPP basé sur TLS est utilisé pour sécuriser toutes les communications XMPP qui se produisent dans l’environnement réseau. Si vous préférez, vous pouvez désactiver le chiffrement TLS en spécifiant la variable false sous le champ spec dans vos fichiers YAML de contrôle et vRouter. Par exemple:

Pour configurer le chiffrement TLS pour le plan de contrôle Contrail et vRouter :

  1. Spécifiez , generatortypesoit cert-manager go-crypto dans ContrailCertificateManager. Le générateur par défaut est cert-manager.
    Dans Kubernetes, tous les certificats sont convertis en secrets. Lorsque vous générez le certificat, les secrets sont automatiquement créés lorsque vous appliquez votre deployment.yaml fichier.
    Les exemples suivants montrent les certificats créés dans cert-manager et go-crypto pour le contrôle et le vRouter :

    Exemple d’utilisation de cert-manager :

    Exemple d’utilisation de gocrypto :
  2. Appliquez votre fichier deployment.yaml pour générer le certificat.
  3. Vérifiez votre configuration.

    Exécutez les commandes suivantes kubectl pour vérifier que le certificat et les secrets ont bien été générés.

    Par défaut, les certificats et les secrets sont générés automatiquement au format ContrailCertificateManager. Vous pouvez également créer des secrets pour d’autres composants ou créer votre propre autorité de certification.
    Pour créer des secrets pour d’autres composants, spécifiez le(s) composant(s) que vous souhaitez utiliser dans ou cert-manager gocrypto. Vous pouvez utiliser un secret pour plusieurs composants.

    Les composants disponibles sont les suivants :

    • control-xmpp

    • vrouter-sandesh

    • control-sandesh

    • contrail-api-server

    • vrouter-xmpp

    Si vous n’avez pas saisi d’entrée casecret ContrailCertificateManager, un certificat autosigné est automatiquement créé. Ce certificat autosigné est valable 10 ans.

    Si vous le souhaitez, vous pouvez spécifier votre propre certificat d’autorité de certification, comme indiqué dans l’exemple suivant. Le secret doit contenir les clés tls.crt et tls.key.

    Exécutez la kubectl apply -f ca-key-pair.yaml commande pour appliquer le secret.

Voir aussi