Заменить сертификат вручную #

1. В кластере откройте страницу ClusterIssuers раздела Администрирование и создайте ClusterIssuer, например corp-acme.

2. В блоке Спецификация объекта:

• выберите тип ACME;
• заполните адрес сервера ACME;
• в CA Bundle загрузите корневой CA сертификат ACME-сервера;
• в блоке Ключ учетной записи укажите имя секрета, в котором будет сохранен автоматически созданный ключ;
• добавьте solver с типом http01 и значением nginx в ClassIngress.

Пример ClusterIssuer:

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: corp-acme
spec:
  acme:
    caBundle: <корневой_CA_сертификат_ACME_сервера_base64>
    email: cluster@shturval.tech
    privateKeySecretRef:
      name: corp-acme
    server: https://issuer.ip-XX-XX-XX-XX.shturval.link:9443/acme/acme/directory
    solvers:
    - http01:
        ingress:
          class: nginx

3. В неймспейсе cert-manager откройте ConfigMaps и найдите root-ca:

• если ConfigMap root-ca есть, откройте его и замените значение ключа ca.crt данными корневого сертификата CA от ACME;
• если ConfigMap root-ca нет, создайте его, добавьте ключ ca.crt и укажите в значении данные корневого сертификата CA от ACME.

Шаг 3. Настроить системные сервисы #

Если в кластере работают системные сервисы Grafana или ArgoCD, настройте их через ShturvalServicePatch (shturvalserviceconfigs). Это обеспечит корректную работу авторизации при переходе в сервисы из кластера.

Для кластера управления #

Для кластера управления обновите:

• Модуль программного управления Платформой (shturval-backend);
• Модуль графического управления Платформой (shturval-frontend);
• Модуль управления аутентификацией (shturval-auth).

Backend, Frontend, Auth #

Подготовьте манифесты ресурсов ShturvalServicePatch для применения к спецификациям shturval-backend, shturval-frontend и shturval-auth. В блок customvalues добавьте параметры, как в примерах ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-backend
  customvalues:
    global:
      tls:
        enabled: true
        backend_tls_secretname: <ваше значение параметра>
        cluster_issuer_name: <ваше значение параметра>

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-frontend
  customvalues:
    tls:
      enabled: true
      front_tls_secretname: <ваше значение параметра>
      docs_tls_secretname: <ваше значение параметра>
      cluster_issuer_name: <ваше значение параметра>

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-auth
  customvalues:
    tls:
      enabled: true
      auth_tls_secretname: <ваше значение параметра>
      cluster_issuer_name: <ваше значение параметра>

Загрузите подготовленные ShturvalServicePatch через импорт манифестов. Нажмите на иконку импорта манифестов слева от имени пользователя, загрузите файл с манифестами или перетащите манифесты в открывшееся окно. Выполните проверку и нажмите Загрузить.

Чтобы проверить применение манифестов, перейдите в раздел Сервисы и репозитории, откройте страницу Установленные сервисы и перейдите к управлению нужным сервисом:

• Модуль программного управления Платформой (shturval-backend);
• Модуль графического управления Платформой (shturval-frontend);
• Модуль управления аутентификацией (shturval-auth).

На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Grafana #

Если используется Grafana, подготовьте манифест ShturvalServicePatch для применения к спецификации Модуля графического отображения метрик (Grafana) (shturval-dashboards). В блок customvalues добавьте параметры, как в примере ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-dashboards
  customvalues:
    grafana.ini:
      security:
        cookie_secure: true
      auth.generic_oauth:
        tls_skip_verify_insecure: true
    ingress:
      annotations:
        cert-manager.io/cluster-issuer: <ваше значение параметра>
      enabled: true
      tls:
      - hosts:
        - <ваше значение параметра>
        secretName: <ваше значение параметра>

Загрузите подготовленный ShturvalServicePatch через импорт манифестов.

После загрузки манифеста из раздела Сервисы и репозитории откройте страницу Установленные сервисы, найдите Модуль графического отображения метрик (Grafana) (shturval-dashboards) и перейдите к управлению. На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Для любого типа кластера #

ArgoCD #

Если используется ArgoCD, подготовьте манифест ShturvalServicePatch для применения к спецификации Модуля непрерывной доставки приложений (ArgoCD) (shturval-cd). В блок customvalues добавьте параметры, как в примере ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName:  shturval-cd
  customvalues:
    server:
      ingress:
        annotations:
          cert-manager.io/cluster-issuer: <ваше значение параметра>
        enabled: true
        hostname: <ваше значение параметра>
        path: /
        pathType: Prefix
        tls: true

Загрузите подготовленный ShturvalServicePatch через импорт манифестов.

После загрузки манифеста из раздела Сервисы и репозитории откройте страницу Установленные сервисы, найдите Модуль непрерывной доставки приложений (ArgoCD) (shturval-cd) и перейдите к управлению. На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Заменить сертификат вручную #

Шаг 1. Создать ClusterIssuer #

Создайте YAML-файл acme-issuer.yaml с манифестом объекта ClusterIssuer:

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: <имя ресурса>
  namespace: cert-manager
spec:
  acme:
    server: <URL сервера Let's Encrypt>
    email: <email учетной записи Let's Encrypt>
    privateKeySecretRef:
      name: <имя секрета для ключа учетной записи>
    solvers:
    - http01:
        ingress:
          class: nginx

Шаг 2. Применить манифест #

Примените созданный манифест ClusterIssuer:

kubectl apply -f acme-issuer.yaml

Шаг 3. Настроить системные сервисы #

Если в кластере работают системные сервисы Grafana или ArgoCD, настройте их через ShturvalServicePatch (shturvalserviceconfigs). Это обеспечит корректную работу авторизации при переходе в сервисы из кластера.

Для кластера управления #

Для кластера управления обновите:

• Модуль программного управления Платформой (shturval-backend);
• Модуль графического управления Платформой (shturval-frontend);
• Модуль управления аутентификацией (shturval-auth).

Backend, Frontend, Auth #

Подготовьте манифесты ресурсов ShturvalServicePatch для применения к спецификациям shturval-backend, shturval-frontend и shturval-auth. В блок customvalues добавьте параметры, как в примерах ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-backend
  customvalues:
    global:
      tls:
        enabled: true
        backend_tls_secretname: <ваше значение параметра>
        cluster_issuer_name: <ваше значение параметра>

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-frontend
  customvalues:
    tls:
      enabled: true
      front_tls_secretname: <ваше значение параметра>
      docs_tls_secretname: <ваше значение параметра>
      cluster_issuer_name: <ваше значение параметра>

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-auth
  customvalues:
    tls:
      enabled: true
      auth_tls_secretname: <ваше значение параметра>
      cluster_issuer_name: <ваше значение параметра>

Загрузите подготовленные ShturvalServicePatch через импорт манифестов. Нажмите на иконку импорта манифестов слева от имени пользователя, загрузите файл с манифестами или перетащите манифесты в открывшееся окно. Выполните проверку и нажмите Загрузить.

Чтобы проверить применение манифестов, перейдите в раздел Сервисы и репозитории, откройте страницу Установленные сервисы и перейдите к управлению нужным сервисом:

• Модуль программного управления Платформой (shturval-backend);
• Модуль графического управления Платформой (shturval-frontend);
• Модуль управления аутентификацией (shturval-auth).

На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Grafana #

Если используется Grafana, подготовьте манифест ShturvalServicePatch для применения к спецификации Модуля графического отображения метрик (Grafana) (shturval-dashboards). В блок customvalues добавьте параметры, как в примере ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-dashboards
  customvalues:
    grafana.ini:
      security:
        cookie_secure: true
      auth.generic_oauth:
        tls_skip_verify_insecure: true
    ingress:
      annotations:
        cert-manager.io/cluster-issuer: <ваше значение параметра>
      enabled: true
      tls:
      - hosts:
        - <ваше значение параметра>
        secretName: <ваше значение параметра>

Загрузите подготовленный ShturvalServicePatch через импорт манифестов.

После загрузки манифеста из раздела Сервисы и репозитории откройте страницу Установленные сервисы, найдите Модуль графического отображения метрик (Grafana) (shturval-dashboards) и перейдите к управлению. На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Для любого типа кластера #

ArgoCD #

Если используется ArgoCD, подготовьте манифест ShturvalServicePatch для применения к спецификации Модуля непрерывной доставки приложений (ArgoCD) (shturval-cd). В блок customvalues добавьте параметры, как в примере ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName:  shturval-cd
  customvalues:
    server:
      ingress:
        annotations:
          cert-manager.io/cluster-issuer: <ваше значение параметра>
        enabled: true
        hostname: <ваше значение параметра>
        path: /
        pathType: Prefix
        tls: true

Загрузите подготовленный ShturvalServicePatch через импорт манифестов.

После загрузки манифеста из раздела Сервисы и репозитории откройте страницу Установленные сервисы, найдите Модуль непрерывной доставки приложений (ArgoCD) (shturval-cd) и перейдите к управлению. На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Заменить сертификат вручную #

1. В неймспейсе cert-manager откройте ConfigMaps, найдите root-ca и измените значение ключа ca.crt. В значении должен быть корпоративный корневой сертификат.

2. Сохраните изменения в ConfigMap root-ca.
3. В неймспейсе ingress откройте страницу Secrets раздела Хранилище и создайте секрет:

• имя: corp-tls;
• тип: kubernetes.io/tls.

4. Добавьте корпоративный конечный сертификат и его ключ в Secret corp-tls.

5. Сохраните Secret corp-tls.

Шаг 3. Настроить ingress-controller #

Чтобы внести изменения в customvalues Модуля управления внешними подключениями (shturval-ingress-controller), подготовьте ShturvalServicePatch:

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-ingress-controller
  customvalues:
    controller:
      extraArgs:
        default-ssl-certificate: "ingress/corp-tls"

Загрузите манифест через импорт манифестов в графическом интерфейсе. Нажмите на иконку импорта манифестов слева от имени пользователя, загрузите файл с подготовленным манифестом ShturvalServicePatch для shturval-ingress-controller или перетащите манифест в открывшееся окно. Выполните проверку и нажмите Загрузить.

После применения на странице Установленные сервисы откройте Модуль управления внешними подключениями (shturval-ingress-controller) и проверьте:

• на вкладке Примененные ShturvalServicePatch отображается загруженный ShturvalServicePatch;
• на вкладке Сервис статус изменился на Patched.

Шаг 4. Настроить системные сервисы #

При смене на Корпоративный сертификат (wildcard или список конкретных имён) cert-manager для Ingress не выписывает сертификаты. ClusterIssuer создавать не нужно. Если оставить ClusterIssuer без изменения в ssc сервисов, cert-manager продолжит выпускать shturval-selfsigned-ca. В ShturvalServicePatch потребуется указать пустое значение "" для cluster_issuer_name (или аннотации cert-manager.io/cluster-issuer) и имя созданного Secret с данными корпоративного сертификата.

Создайте Secret с сертификатом #

Перед применением ShturvalServicePatch для корпоративного сертификата создайте в неймспейсе каждого сервиса Secret, например, с именем corp-tls типа kubernetes.io/tls с корпоративным сертификатом и его ключом. Secret должен быть в том же неймспейсе, где находится Ingress сервиса.

Если в кластере работают системные сервисы Grafana или ArgoCD, настройте их через ShturvalServicePatch (shturvalserviceconfigs). Это обеспечит корректную работу авторизации при переходе в сервисы из кластера.

Для кластера управления #

Для кластера управления обновите:

• Модуль программного управления Платформой (shturval-backend);
• Модуль графического управления Платформой (shturval-frontend);
• Модуль управления аутентификацией (shturval-auth).

Backend, Frontend, Auth #

Подготовьте манифесты ресурсов ShturvalServicePatch для применения к спецификациям shturval-backend, shturval-frontend и shturval-auth. В блок customvalues добавьте параметры, как в примерах ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-backend
  customvalues:
    tls:
      enabled: true
      backend_tls_secretname: corp-tls
      cluster_issuer_name: ""

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-frontend
  customvalues:
    tls:
      enabled: true
      front_tls_secretname: corp-tls
      docs_tls_secretname: corp-tls
      cluster_issuer_name: ""

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-auth
  customvalues:
    tls:
      enabled: true
      auth_tls_secretname: corp-tls
      cluster_issuer_name: ""

Загрузите подготовленные ShturvalServicePatch через импорт манифестов. Нажмите на иконку импорта манифестов слева от имени пользователя, загрузите файл с манифестами или перетащите манифесты в открывшееся окно. Выполните проверку и нажмите Загрузить.

Чтобы проверить применение манифестов, перейдите в раздел Сервисы и репозитории, откройте страницу Установленные сервисы и перейдите к управлению нужным сервисом:

• Модуль программного управления Платформой (shturval-backend);
• Модуль графического управления Платформой (shturval-frontend);
• Модуль управления аутентификацией (shturval-auth).

На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Проверить сертификат модуля аутентификации #

После замены сертификата для shturval-auth проверьте, что клиент аутентификации получил тот же сертификат. Синхронизация может занять несколько минут.

kubectl get authoidcclients.auth.shturval.tech -n shturval-backend backend -o jsonpath='{.status.clientInfo.caFileBase64}' | base64 -d

Вывод должен совпадать с данными tls.crt. Если он другой, подождите несколько минут и повторите команду.

Grafana #

Если используется Grafana, подготовьте манифест ShturvalServicePatch для применения к спецификации Модуля графического отображения метрик (Grafana) (shturval-dashboards). В блок customvalues добавьте параметры, как в примере ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-dashboards
  customvalues:
    grafana.ini:
      security:
        cookie_secure: true
      auth.generic_oauth:
        tls_skip_verify_insecure: true
    ingress:
      annotations:
        cert-manager.io/cluster-issuer: ""
      enabled: true
      tls:
      - hosts:
        - <ваше значение параметра>
        secretName: corp-tls

Загрузите подготовленный ShturvalServicePatch через импорт манифестов.

После загрузки манифеста из раздела Сервисы и репозитории откройте страницу Установленные сервисы, найдите Модуль графического отображения метрик (Grafana) (shturval-dashboards) и перейдите к управлению. На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.

Для любого типа кластера #

ArgoCD #

Если используется ArgoCD, подготовьте манифест ShturvalServicePatch для применения к спецификации Модуля непрерывной доставки приложений (ArgoCD) (shturval-cd). В блок customvalues добавьте параметры, как в примере ниже.

apiVersion: ops.shturval.tech/v1beta2
kind: ShturvalServicePatch
metadata:
  name: <имя ресурса>
spec:
  shturvalServiceConfigName: shturval-cd
  customvalues:
    server:
      ingress:
        annotations:
          cert-manager.io/cluster-issuer: ""
        enabled: true
        hostname: <ваше значение параметра>
        path: /
        pathType: Prefix
        tls: true

Загрузите подготовленный ShturvalServicePatch через импорт манифестов.

После загрузки манифеста из раздела Сервисы и репозитории откройте страницу Установленные сервисы, найдите Модуль непрерывной доставки приложений (ArgoCD) (shturval-cd) и перейдите к управлению. На вкладке Примененные ShturvalServicePatch отобразится загруженный ShturvalServicePatch.