Kubernetes에서 커스텀 CA로 서명된 인증서가 유효하지 않습니다.

2024-6-7 • tag-icon

Kubernetes에서 커스텀 CA로 서명된 인증서가 유효하지 않습니다.

다음 프로세스를 설정하려고합니다.

포드가 시작되고 개인 키와 csr이 생성됩니다.
서명 및 IP 확인을 위해 비밀번호로 보호된 서비스에 CSR을 제출하세요.
서비스는 유효한 crt를 반환합니다. 이 crt는 1단계에서 생성된 개인 키와 함께 .p12로 패키징됩니다.

여기서 테스트하고 있는 설정은 grafana 인스턴스가 웹후크를 서비스로 전송한 다음 이를 SNS로 라우팅하도록 하는 것입니다(AWS Lambda를 예전처럼 사용하고 싶지 않습니다). 하나의 SMS에 대해 많은 오버헤드가 발생하고 모든 알림 웹후크를 한 곳에 보관할 수 있습니다. 다음 URL에서 kubernetes 서비스에 접속하려고 할 때

https://zevrant-notification-service/zevrant-notification-service/webhooks/serviceDown

grafana에서 다음 오류가 발생합니다.

Failed to send alert notifications" logger=context userId=1 orgId=1 uname=admin error="Post \"https://zevrant-notification-service/zevrant-notification-service/webhooks/serviceDown\": 
x509: certificate is not valid for any names, but wanted to match zevrant-notification-service" remote_addr=10.32.0.1

Pod 내부에서 wget을 통해 동일한 요청을 시도했는데 비슷한 오류가 발생했습니다.

wget https://zevrant-notification-service/zevrant-notification-service/webhooks/serviceDown

Connecting to zevrant-notification-service (10.105.135.223:443)
ssl_client: zevrant-notification-service: name 'zevrant-notification-service' not present in 
server certificate
wget: error getting response: Connection reset by peer

내가 아는 한 인증서에 문제가 있는 것으로 알고 있지만 인증서를 확인하면 응답에 올바른 cname이 포함되어 있습니다. 인증서에는 Pod IP가 IP SAN으로 포함되어 있습니다.

openssl x509 -noout -subject -in test.pem 

subject=C = US, ST = MI, O = Zevrant Services Inc, OU = MyDivision, CN = zevrant-notification-service

이것은 나에게 맞는 것 같아서 다음에 무엇을 해야할지 잘 모르겠습니다. 전체 인증서 세부정보는 아래에 나와 있습니다(이러한 키는 임시 키이므로 인증서 예시는 포드가 종료되면 취소됩니다).

답변1

거의 다 왔어, 친구. SAN에는 원래 CN(zevrant-notification-service) 및 대체 이름(10.105.135.223)이 포함되어야 합니다.

현재 SAN은 10.105.135.223이며 이는 원래 CN(zevrant-notification-service)을 무효화합니다.

답변1

관련 정보