Azure Kubernetes Service (AKS) için Azure Linux Container konağına sertifika yükleme

Bu makalede, kapsayıcı ana bilgisayarının temel görüntüye dahil edilen Microsoft’a ait sertifika yetkililerinden (CA’lar) oluşan asgari kümenin ötesindeki ek sertifika yetkililerine güvenebilmesi için, Azure Kubernetes Service (AKS) için kullanılan Azure Linux Kapsayıcı Ana Bilgisayarına kök sertifikaların nasıl ekleneceği açıklanmaktadır.

AKS görüntü sertifikaları için Azure Linux Container Host hakkında daha fazla bilgi için GitHub belgelerine bakın.

Varsayılan sertifikalar ve güven

Varsayılan olarak, AKS için Azure Linux Container Host görüntüsü, packages.microsoft.com gibi belirli Microsoft kaynaklarına güvenmek için en az sayıda kök sertifikaya sahiptir. Tüm Microsoft sertifikaları görüntümüze otomatik olarak dahil değildir. Bu ilke en düşük ayrıcalık ilkesiyle tutarlıdır ve size yalnızca ihtiyacınız olan kök sertifikaları kabul etme ve görüntünüzü özelleştirme esnekliği sağlar.

ca-certificates-base kapsayıcı ana bilgisayar görüntüsüne önceden yüklenmiştir ve Microsoft'a ait küçük bir CA kümesinden sertifikalar içerir. Microsoft'un kök ve ara CA'larından alınan sertifikalardan oluşur. Bu paket, kapsayıcı konağınızın tümü doğrulanmış ve sertifikaları Microsoft tarafından verilmiş olan en az sayıda sunucu kümesine güvenmesini sağlar.

Microsoft Güvenilen Kök Programıca-certificates aracılığıyla, Microsoft'un kök CA'lara olan güvenini kapsar.

Dizin /etc/pki/ca-trust/source/ , CA sertifikalarını ve güven ayarlarını PEM dosya biçiminde içerir. Burada bulunan güven ayarları yüksek öncelikli olarak yorumlanır (içinde /usr/share/pki/ca-trust-source/bulunanlardan daha yüksektir).

PEM veya DER dosya biçiminde sertifika ekleme

AKS için Azure Linux Container Host görüntünüze tek tek veya birden çok sertifika ekleyebilirsiniz. Basit PEM veya DER dosya biçiminde bir sertifikayı sistemde güvenilen CA'lar listesine eklemek için şu adımları izleyin:

  1. Sertifikanızı altına etc/pki/ca-trust/source/anchors/kaydedin.
  2. CA sertifikalarını ve ilişkili güveni birleştirmek için komutunu çalıştırın update-ca-trust .

Genişletilmiş BEGIN TRUSTED dosya biçiminde bir sertifika ekleme

Sertifikanız genişletilmiş BEGIN TRUSTED dosya biçimindeyse (TLS dışındaki kullanımlar için güvensizlik bayrakları veya güven bayrakları içerebilir) şu adımları izleyin:

  1. Sertifikanızı altına etc/pki/ca-trust/source/kaydedin.
  2. CA sertifikalarını ve ilişkili güveni birleştirmek için komutunu çalıştırın update-ca-trust .

İlgili içerik

  • Son güncelleştirme: