OpenShift证书时长

延长集群核心证书的有效期

OpenShift集群正常运行中涉及到非常多的证书，有各节点通信的证书，有数据库的证书，有私有镜像仓库的证书，还有各种组件的证书（EFK、ClusterMonitor、Metrics等）。对于集群的相关证书可以通过在inventory文件中添加如下配置就可以非常方便地更改相关证书的默认有效期。

1
2
3
4
openshift_hosted_registry_cert_expire_days=3650
openshift_ca_cert_expire_days=3650
openshift_master_cert_expire_days=3650
etcd_ca_default_days=3650

但是以上的几个配置对于一些组件并不起作用，如EFK等。

延长一些特殊组件证书的有效期

openshift自签应用证书的有效期为2 or 5年。其中crt证书默认为两年，ca证书为5年。例如es中的证书中，admin-ca有效期为5年，admin-crt有效期为2年。

也就是说按照当前OpenShift安装的默认步骤安装的EFK组件，证书最短有效期为两年，两年后需要执行证书更新操作。而ES证书更新时，需要对ES应用进行重启，这将会影响到ES的可用性。那么如果我们希望在在安装部署EFK组件的时候，将证书设置为更长的时间的话，就不需要进行证书的更新，也就不会影响到ES的服务了。那么怎样做到这一点呢？

带着这个问题，仔细研究了OpenShift部署的脚本，发现要实现这点并不困难，只需要将生成证书的地方添加过期时间就ok了。

与相关证书有效期有关的地方有如下五类：

1. 使用create-signer-cert命令创建的证书

以ES服务为例，admin-ca证书的有效期时间默认为5年，将roles/openshift_logging/tasks/generate_certs.yaml中的oc adm ca create-signer-cert命令添加过期时间--expire-days=36500，例如

1
2
3
{{ openshift_client_binary }} adm --config={{ mktemp.stdout }}/admin.kubeconfig ca create-signer-cert
    --key={{generated_certs_dir}}/ca.key --cert={{generated_certs_dir}}/ca.crt
    --serial={{generated_certs_dir}}/ca.serial.txt --name=logging-signer-test --expire-days=36500

2. 使用keytool创建的证书

以ES服务为例，admin-crt有效期时间默认为2年。将roles/openshift_logging/files/generate-jks.sh脚本中的默认过期时间设置-validity设置为36500（一百年）即可，例如

1
2
3
4
5
6
7
8
9
10
keytool -genkey \
        -alias     $NODE_NAME \
        -keystore  $dir/$NODE_NAME.jks \
        -keyalg    RSA \
        -keysize   2048 \
        -validity  36500\
        -startdate "$startdate" \
        -keypass $ks_pass \
        -storepass $ks_pass \
        -dname "CN=$NODE_NAME, OU=OpenShift, O=Logging"

3. 使用create-server-cert命令创建的证书

oc adm ca create-server-cert命令创建的证书的过期时间为2年，所以对于这些命令生成的证书脚本也需要设置过期时间--expire-days=36500,例如metrics_server/tasks/generate_certs_and_apiservice.yaml文件中：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
- name: generate new serving cert secrets if needed
  when: existing_metrics_server_secret.rc != 0
  block:
  - name: generate ca certificate chain
    command: >
      {{ openshift_client_binary }} adm ca create-signer-cert
      --config={{ mktemp.stdout }}/admin.kubeconfig
      --key='{{ mktemp.stdout }}/ca.key'
      --cert='{{ mktemp.stdout }}/ca.crt'
      --serial='{{ mktemp.stdout }}/ca.serial.txt'
      --name="metrics-signer@{{lookup('pipe','date +%s')}}"
      --expire-days=36500

  - name: generate metrics-server keys
    command: >
      {{ openshift_client_binary }} adm ca create-server-cert
      --config={{ mktemp.stdout }}/admin.kubeconfig
      --key='{{ mktemp.stdout }}/metrics-server.key'
      --cert='{{ mktemp.stdout }}/metrics-server.crt'
      --hostnames='metrics-server,metrics-server.{{ openshift_metrics_server_project }}.svc,metrics-server.{{ openshift_metrics_server_project }}.svc.cluster.local'
      --signer-cert='{{ mktemp.stdout }}/ca.crt'
      --signer-key='{{ mktemp.stdout }}/ca.key'
      --signer-serial='{{ mktemp.stdout }}/ca.serial.txt'
      --expire-days=36500

4. 使用oc adm ca create-master-certs创建的证书

oc adm ca证书创建相关的命令还有create-master-certs，通过它能够创建master的证书，OpenShift已经提供了相关的配置ansible/hosts中添加变量：openshift_master_cert_expire_days与openshift_ca_cert_expire_days来设置证书的过期时间，不需要更改playbook脚本与shell脚本。

5. 使用openssl创建的证书

openssl req -out xx.csr -days 712这是脚本中创建证书默认指定为2年。可将-days 712改为新的有效期时间。例如roles/openshift_logging/tasks/generate_pems.yaml。
另外openssl ca -in ...也需要添加-days 36500，也在该文件下

1
2
openssl ca -in {{generated_certs_dir}}/{{component}}.csr -notext -out {{generated_certs_dir}}/{{component}}.crt
    -config {{generated_certs_dir}}/signing.conf -extensions v3_req -batch -extensions server_ext -days 36500