如何在OpenShift企業3.2

Question

創造hawkular度量重新加密航線按文檔使集羣度量，我應該創建重新加密航線按下面的語句

$ oc create route reencrypt hawkular-metrics-reencrypt \ 
--hostname hawkular-metrics.example.com \ 
--key /path/to/key \ 
--cert /path/to/cert \ 
--ca-cert /path/to/ca.crt \ 
--service hawkular-metrics 
--dest-ca-cert /path/to/internal-ca.crt 

• 究竟應該我用這些密鑰和證書？
• 這些已經存在或我需要創建它們嗎？

Answer 1

首先，據我所知，請注意，使用重新加密路由是可選的。說明文檔中提到部署沒有導入任何證書：

oc secrets new metrics-deployer nothing=/dev/null 

而且你應該能夠開始與該做出hawkular工作（比如，你就可以用「-k」選項捲曲）。但有時需要重新加密路由，有些客戶拒絕與不可信證書進行通信。

本頁解釋什麼是這裏所需要的證書：https://docs.openshift.com/enterprise/3.1/install_config/cluster_metrics.html#metrics-reencrypting-route

請注意，您也可以從Web控制檯配置它，如果你發現它更方便：從https://(your_openshift_host)/console/project/openshift-infra/browse/routes，您可以創建一個新的路線和上載證書來自該頁面的文件。在「TLS終止」下選擇「重新加密」，然後提供4個證書文件。

如果您不知道如何生成自簽名證書，則可以按照此處所述的步驟操作：https://datacenteroverlords.com/2012/03/01/creating-your-own-ssl-certificate-authority/。你最終將得到一個rootCA.pem文件（用於「CA證書」），一個device.key文件（或者將其命名爲hawkular.key，並將其上傳爲私鑰）和一個device.crt文件（可以將其命名爲hawkular.pem，這是PEM格式證書）。當詢問通用名稱時，請務必輸入您的hawkular服務器的主機名，例如「hawkular-metrics.example.com」

最後一個提供的是Hawkular使用的當前自簽名證書，稱爲「目的地CA證書」。 OpenShift文檔解釋瞭如何獲得它：運行

base64 -d <<< \ 
`oc get -o yaml secrets hawkular-metrics-certificate \ 
| grep -i hawkular-metrics-ca.certificate | awk '{print $2}'` 

，如果您使用的Web控制檯，將其保存到一個文件，然後上傳目標下CA證書。

現在你應該完成重新加密。

Answer 2

Openshift指標開發人員在這裏。

對不起，如果文檔不夠清楚。

該路線用於公開Hawkular指標，特別是運行OpenShift控制檯的瀏覽器。

如果您未指定任何證書，系統將使用自簽名證書。瀏覽器會抱怨這個自簽名證書不可信，但通常您只需點擊即可接受。如果你確定這一點，那麼你不需要做任何額外的步驟。

如果您希望瀏覽器默認信任此連接，那麼您將需要提供由受信任的證書頒發機構簽署的自己的證書。這與您在https下運行普通網站時必須生成自己的證書的方式完全相同。

從以下命令：

$ OC創建路線重新加密hawkular度量，重新加密\ --hostname hawkular-metrics.example.com \ --key /路徑/到/鍵\ --cert/path/to/cert \ --ca-cert /path/to/ca.crt \ --service hawkular-metrics --dest-ca-cert /path/to/internal-ca.crt

'cert'對應於您的證書頒發機構簽署的證書

'key'對應於您的證書的密鑰

「CA證書」對應的證書頒發機構的證書

「DEST-CA證書」對應於簽署了指標生成自簽名證書的證書授權部署

該文檔https://docs.openshift.com/enterprise/3.2/install_config/cluster_metrics.html#metrics-reencrypting-route應解釋如何從系統中獲得dest-ca-cert

Answer 3

謝謝大家，事實證明，如你所說，它是可選的。我的系統在沒有創建它的情況下工作