租户认证管理器

前提条件

• kustomize 安装

• kubectl 访问您的 k8s 集群

• 完成以下步骤 set up cert-manager

• 已安装 MinIO 操作员，且 set up for cert-manager。

1) 创建租户命名空间 CA 发布者

在部署新租户之前，为租户的命名空间创建证书颁发机构和颁发者。

1. 必要时，创建租户的命名空间。

   kubectl create ns tenant-1
   

   这与租户 YAML 中的 metadata.namespace 字段的值相匹配。

2. spec.isCA 设置为 true 的新证书颁发机构申请证书。

创建名为 tenant-1-ca-certificate.yaml 的文件，内容如下:

# tenant-1-ca-certificate.yaml
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: tenant-1-ca-certificate
  namespace: tenant-1
spec:
  isCA: true
  commonName: tenant-1-ca
  secretName: tenant-1-ca-tls
  duration: 70128h # 8y
  privateKey:
    algorithm: ECDSA
    size: 256
  issuerRef:
    name: selfsigned-root
    kind: ClusterIssuer
    group: cert-manager.io

重要

spec.issueRef.name 必须与在 setting up cert-manager 时创建的 ClusterIssuer 的名称一致。 如果您指定了不同的 ClusterIssuer 名称或使用了与指南不同的 Issuer ，请修改 issuerRef 以匹配您的环境。

3. 应用资源:

   kubectl apply -f tenant-1-ca-certificate.yaml
   

2) 创建 Issuer

Issuer 在租户名称空间内颁发证书。

1. 为 Issuer 生成资源定义。

   创建名为 tenant-1-ca-issuer.yaml 的文件，内容如下:

   # tenant-1-ca-issuer.yaml
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: tenant-1-ca-issuer
     namespace: tenant-1
   spec:
     ca:
       secretName: tenant-1-ca-tls
   

2. 应用 Issuer 资源定义:

   kubectl apply -f tenant-1-ca-issuer.yaml
   

3) 为租户创建证书

请求证书管理器为 MinIO 签发新的 TLS 服务器证书。 证书必须对以下 DNS 域有效:

• minio.<namespace>

• minio.<namespace>.svc

• minio.<namespace>.svc.<cluster domain>

• *.<tenant-name>-hl.<namespace>.svc.<cluster domain>

• *.<namespace>.svc.<cluster domain>

• *.<tenant-name>.minio.<namespace>.svc.<cluster domain>'

1. 为指定域申请 Certificate

   创建名为 tenant-1-minio-certificate.yaml 的文件。 文件内容应类似于以下内容，并根据群集和租户配置进行修改:

   # tenant-1-minio-certificate.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: tenant-certmanager-cert
     namespace: tenant-1
   spec:
     dnsNames:
       - "minio.tenant-1"
       - "minio.tenant-1.svc"
       - 'minio.tenant-1.svc.cluster.local'
       - '*.minio.tenant-1.svc.cluster.local'
       - '*.myminio-hl.tenant-1.svc.cluster.local'
       - '*.myminio.minio.tenant-1.svc.cluster.local'
     secretName: myminio-tls
     issuerRef:
       name: tenant-1-ca-issuer
   

   小技巧

   在本例中，租户名称 myminio 。 我们建议将字段 spec.secretName 中的秘密命名为 <tenant-name>-tls 作为命名约定。

2. 应用证书资源:

   kubectl apply -f tenant-1-minio-certificate.yaml
   

3. 验证更改是否生效:

   kubectl describe secret/myminio-tls -n tenant-1
   

   备注

   • 将 tenant-1 替换为租户的命名空间。

   • 将 myminio-tls 替换为秘密名称（如果不同）。

4) 使用 cert-manager 管理 TLS 证书，部署租户

部署租户时，必须设置 TLS 配置:

• 租户不会自动生成自己的证书(spec.requestAutoCert: false) and

• 承租人拥有有效的证书管理人证明 (spec.externalCertSecret)

这将指示操作员只使用 cert-manager 证书部署租户。

以下 YAML spec 提供了符合这些要求的基准配置:

apiVersion: minio.min.io/v2
kind: Tenant
metadata:
  name: myminio
  namespace: tenant-1
spec:
...
  ## Disable default tls certificates.
  requestAutoCert: false
  ## Use certificates generated by cert-manager.
  externalCertSecret:
    - name: myminio-tls
      type: cert-manager.io/v1
...

5) 在 MinIO 操作员中信任租户的 CA

MinIO 操作员默认不信任租户的 CA。 要信任租户的 CA，必须将证书作为秘密传递给操作员。

为此，请在 minio-operator 命名空间中创建一个秘密，前缀为 operator-ca-tls- ，后缀为唯一标识符。

MinIO Operator 挂载并信任由所提供的证书颁发机构签发的 所有 证书。 之所以需要这样做，是因为 MinIO 操作员会使用 /minio/health/cluster 端点执行健康检查。

6) 部署租户

租户命名空间的证书颁发机构和 Issuer 就位后，现在就可以 :ref:` 部署对象存储租户 <minio-k8s-deploy-minio-tenant>` 。

使用修改后的基线租户 YAML 禁用 AutoCert，并引用您生成的密文。