牧场主添加内部CA以连接到其他系统

Question

TL; DR：当Rancher SSL证书不是由其签署而是其他外部系统（例如OIDC提供商）是，我如何才能使牧场主内部ca为牧场主？

我在我的一个docker容器中的一个VM上有一个版本v2.6.3中有一个运行的牧场主。它使用Digicert签署的SSL证书，因为我正在使用它来管理自己网络之外的群集。 Web UI登录仅在我的网络中使用。我在KeyCloak中使用OIDC客户端。由于此KeyCloak是（并且应该保留）仅从我的内部网络访问，因此它具有由我的内部CA签名的证书。

为了获得这项工作，我需要使Root CA知道牧场主。因此，我将其安装到/etc/rancher/ssl/cacerts.pem以及我的Digicert-Signed证书和键（ssl_cert_dir）的以及设置为/etce（ssl_cert_dir） /rancher/ssl）。

这样做之后，我可以通过内部KeyCloak成功地配置OIDC Auth。在添加root ca之前，当牧场主尝试阅读https：// keycloak Realm auth url＆gt;/。众所周知的/OpenID-Configuration时，我会遇到证书错误。

现在，牧场主将此根CA证书添加到kubeconfig用户可以从UI下载以访问其群集的文件。然后，当他们想使用kubectl访问群集时，这会导致证书错误。现在，我可以告诉所有人下载配置时，只需删除证书 - 授权data。但是，感觉就像是在工作 - 这不是使牧场主已知证书的正确方法。如果我正确地理解了文档和结果在此处正确描述，则文件/etc/rancher/ssl/cacerts.pem仅在您的牧场主使用签名证书的情况下才能使用由非公共CA。

有其他方法可以使我的内部CA熟悉牧场主吗？不幸的是，我只能找到 在我遵循上述结果的文档中。

提前致谢！

Answer 1

我弄清楚了！

我在 Rancher Helm Chart选项关于其他受信任的CAS 。这使我进入了掌舵图表，在部署：

{{- if .Values.additionalTrustedCAs }}
- mountPath: /etc/pki/trust/anchors/ca-additional.pem
  name: tls-ca-additional-volume
  subPath: ca-additional.pem
  readOnly: true
- mountPath: /etc/rancher/ssl/ca-additional.pem
  name: tls-ca-additional-volume
  subPath: ca-additional.pem
  readOnly: true
{{- end }}
{{- if .Values.privateCA }}
# Pass CA cert into rancher for private CA
- mountPath: /etc/rancher/ssl/cacerts.pem
  name: tls-ca-volume
  subPath: cacerts.pem
  readOnly: true
{{- end }}

显然在信托店中添加其他CA证书就像将CAS安装到/etc/rancher/ssl/ca-additional.pem和/etc/pki/trust/trust/anchors/ca-additional.pem。

已经尝试过了，它就像魅力一样工作！ OIDC登录工作起作用，当我下载kubeconfig 证书 - 授权data未设置。