租户的 cert-manager

先决条件

• 已安装 kustomize

• 对您的 k8s 集群具有 kubectl 访问权限

• 已完成 设置 cert-manager 的步骤

• 已安装 MinIO 运算符并 为 cert-manager 设置。

1) 创建租户命名空间 CA 发行者

在部署新租户之前，请为租户的命名空间创建证书颁发机构和发行者。

1. 如有必要，请创建租户的命名空间。

   kubectl create ns tenant-1
   

   这必须与租户 YAML 中 metadata.namespace 字段的值匹配。

2. 使用 spec.isCA 设置为 true 来请求新证书颁发机构的证书。

   创建一个名为 tenant-1-ca-certificate.yaml 的文件，内容如下所示

   # tenant-1-ca-certificate.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: tenant-1-ca-certificate
     namespace: tenant-1
   spec:
     isCA: true
     commonName: tenant-1-ca
     secretName: tenant-1-ca-tls
     duration: 70128h # 8y
     privateKey:
       algorithm: ECDSA
       size: 256
     issuerRef:
       name: selfsigned-root
       kind: ClusterIssuer
       group: cert-manager.io
   

   重要

   spec.issueRef.name 必须与 设置 cert-manager 时创建的 ClusterIssuer 的名称匹配。如果您指定了不同的 ClusterIssuer 名称或正在使用与指南中不同的 Issuer，请修改 issuerRef 以匹配您的环境。

3. 应用资源

   kubectl apply -f tenant-1-ca-certificate.yaml
   

2) 创建 Issuer

Issuer 在租户命名空间中颁发证书。

1. 为 Issuer 生成资源定义。

   创建一个名为 tenant-1-ca-issuer.yaml 的文件，内容如下所示

   # tenant-1-ca-issuer.yaml
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: tenant-1-ca-issuer
     namespace: tenant-1
   spec:
     ca:
       secretName: tenant-1-ca-tls
   

2. 应用 Issuer 资源定义

   kubectl apply -f tenant-1-ca-issuer.yaml
   

3) 为租户创建证书

请求 cert-manager 为 MinIO 发放一个新的 TLS 服务器证书。该证书必须对以下 DNS 域名有效

• minio.<namespace>

• minio.<namespace>.svc

• minio.<namespace>.svc.<cluster domain>

• *.<tenant-name>-hl.<namespace>.svc.<cluster domain>

• *.<namespace>.svc.<cluster domain>

• *.<tenant-name>.minio.<namespace>.svc.<cluster domain>'

1. 为指定的域名请求一个 Certificate

   创建一个名为 tenant-1-minio-certificate.yaml 的文件。该文件的内容应类似于以下内容，修改以反映您的集群和租户配置

   # tenant-1-minio-certificate.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: tenant-certmanager-cert
     namespace: tenant-1
   spec:
     dnsNames:
       - "minio.tenant-1"
       - "minio.tenant-1.svc"
       - 'minio.tenant-1.svc.cluster.local'
       - '*.minio.tenant-1.svc.cluster.local'
       - '*.myminio-hl.tenant-1.svc.cluster.local'
       - '*.myminio.minio.tenant-1.svc.cluster.local'
     secretName: myminio-tls
     issuerRef:
       name: tenant-1-ca-issuer
   

   提示

   在本例中，租户名称为 myminio。我们建议将 spec.secretName 字段中的密钥命名为 <tenant-name>-tls 作为命名约定。

2. 应用证书资源

   kubectl apply -f tenant-1-minio-certificate.yaml
   

3. 验证更改是否生效

   kubectl describe secret/myminio-tls -n tenant-1
   

   注意

   • 将 tenant-1 替换为您的租户的命名空间。

   • 如果不同，请将 myminio-tls 替换为您的密钥名称。

4) 使用 cert-manager 进行 TLS 证书管理部署租户

部署租户时，必须设置 TLS 配置，以便

• 租户不会自动生成自己的证书 (spec.requestAutoCert: false) *并且*

• 租户具有有效的 cert-manager 引用 (spec.externalCertSecret)

这指示 Operator 专门使用 cert-manager 证书部署租户。

以下 YAML spec 提供了满足这些要求的基本配置

apiVersion: minio.min.io/v2
kind: Tenant
metadata:
  name: myminio
  namespace: tenant-1
spec:
...
  ## Disable default tls certificates.
  requestAutoCert: false
  ## Use certificates generated by cert-manager.
  externalCertSecret:
    - name: myminio-tls
      type: cert-manager.io/v1
...

5) 在 MinIO Operator 中信任租户的 CA

默认情况下，MinIO Operator 不信任租户的 CA。要信任租户的 CA，必须将证书作为密钥传递给 Operator。

为此，请在 minio-operator 命名空间中创建一个以 operator-ca-tls- 为前缀，后跟唯一标识符的密钥。

MinIO Operator 挂载并信任由提供的证书颁发机构发放的**所有**证书。这是必需的，因为 MinIO Operator 使用 /minio/health/cluster 端点执行健康检查。

6) 部署租户

在租户命名空间中设置了证书颁发机构和 Issuer 后，您现在可以 部署对象存储租户。

使用修改后的基本租户 YAML 禁用 AutoCert 并引用您生成的密钥。