サーバー証明書のローテーション

TimesTenオペレータでは、サーバー証明書のローテーションが可能です。

この例では、新しいサーバー証明書を作成するとします。ルート証明書は変更されません。

1. 新しいサーバー証明書、元の中間証明書および元のルートCAを連結して、完全な証明書チェーンを作成します。

   cat new_server.pem intermediate.pem root.pem > completeServer.pem

2. 証明書をサーバーの秘密キーと組み合せて、パスワードで保護されたPKCS#12ファイルを作成します。

   openssl pkcs12 -export -in completeServer.pem -inkey privkey.pem -out server.p12 -passout pass:welcome1

3. Kubernetesシークレットを更新します。このシークレットはネームスペースにすでに存在します。「クライアント/サーバーTLS暗号化用のCA署名証明書のインポート」を参照してください。

   kubectl create secret generic tt-server-pfx-secret --from-file=server.p12 --dry-run=client -o yaml | kubectl apply -f -

TimesTenオペレータは、Kubernetesシークレットが変更されたことを認識し、サーバー証明書をローテーションするための適切なアクションを実行します。