Certificados TLS

Recuperar los hostnames de ingreso

Ejecuta el siguiente comando para listar todos los hostnames de ingreso de Bob:

oc get ingress -n <instance-namespace> \
  -o jsonpath='{range .items[*]}{range .spec.rules[*]}{.host}{"\n"}{end}{end}'

Registra los hostnames devueltos — son necesarios al solicitar o generar certificados.

Verificar los requisitos del certificado

Asegúrate de que el certificado cumple los siguientes requisitos antes de aplicarlo a Bob:

• La clave privada no está cifrada.
• El certificado contiene la cadena de certificados completa.
• Todos los hostnames de ingreso de Bob están incluidos como entradas SAN.
• El certificado y la clave se proporcionan en formato PEM.

Crear el secreto del certificado

Crea un secreto de Kubernetes que contenga el certificado y la clave privada:

oc create secret generic my-tls-secret \
  --from-file=tls.crt=tls.crt \
  --from-file=tls.key=tls.key \
  --from-file=ca.crt=ca.crt \
  -n <instance-namespace>

Para actualizar un secreto existente:

oc create secret generic my-tls-secret \
  --from-file=tls.crt=tls.crt \
  --from-file=tls.key=tls.key \
  --from-file=ca.crt=ca.crt \
  -n <instance-namespace> \
  --dry-run=client -o yaml | oc apply -f -

Aplicar el certificado

Configura Bob para que use el certificado:

./bobctl setup-route --tls-secret my-tls-secret

Verificar el certificado

Verifica que se está sirviendo el certificado esperado:

echo | openssl s_client \
  -connect <hostname>:443 \
  -servername <hostname> 2>/dev/null \
  | openssl x509 -noout -issuer -subject -dates

Verifica que:

• El emisor es correcto.
• El hostname está presente en la lista de SANs.
• Las fechas de validez del certificado son correctas.

Generar un certificado CA

Genera una clave privada y un certificado autofirmado para la autoridad de certificación:

openssl genrsa -out ca.key 4096

openssl req -x509 -new -nodes \
  -key ca.key \
  -sha256 \
  -days 365 \
  -out ca.crt \
  -subj "/CN=<BOB_HOSTNAME> CA"

Esto crea ca.key y ca.crt.

Generar una clave privada del servidor

Genera una clave privada no cifrada para el certificado del endpoint de Bob:

openssl genrsa -out tls.key 4096

Si la clave privada está cifrada con una frase de contraseña, elimina la frase de contraseña antes de continuar:

openssl rsa -in encrypted.key -out tls.key

Crear un archivo de configuración SAN

Crea un archivo llamado san.cnf y reemplaza los hostnames de marcador de posición con los hostnames de ingreso recuperados anteriormente:

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no

[req_distinguished_name]
CN = <BOB_HOSTNAME_1>

[v3_req]
subjectAltName = @alt_names

[alt_names]
DNS.1 = <BOB_HOSTNAME_1>
DNS.2 = <BOB_HOSTNAME_2>
DNS.3 = <BOB_HOSTNAME_3>

Añade o elimina entradas DNS.* según sea necesario para que todos los hostnames de ingreso de Bob estén incluidos.

Generar una solicitud de firma de certificado

openssl req \
  -new \
  -key tls.key \
  -out tls.csr \
  -config san.cnf

Firmar el certificado

openssl x509 \
  -req \
  -in tls.csr \
  -CA ca.crt \
  -CAkey ca.key \
  -CAcreateserial \
  -out tls.crt \
  -days 365 \
  -extensions v3_req \
  -extfile san.cnf

Crear el secreto TLS

Para certificados emitidos por una autoridad de certificación privada o corporativa:

oc create secret generic my-tls-secret \
  --from-file=tls.crt=/path/to/tls.crt \
  --from-file=tls.key=/path/to/tls.key \
  --from-file=ca.crt=/path/to/ca.crt \
  -n <instance-namespace>

Para certificados de confianza pública:

oc create secret tls my-tls-secret \
  --cert=/path/to/tls.crt \
  --key=/path/to/tls.key \
  -n <instance-namespace>

Aplicar el certificado

Configura Bob para que use el secreto TLS:

./bobctl setup-route --tls-secret my-tls-secret

bobctl valida el secreto, actualiza la configuración de Bob y espera a que se complete la reconciliación.

Verificar el certificado

Verifica que Bob está sirviendo el certificado esperado:

echo | openssl s_client \
  -connect <BOB_HOSTNAME_1>:443 \
  -servername <BOB_HOSTNAME_1> 2>/dev/null \
  | openssl x509 -noout -issuer -subject -dates

Verifica que:

• El emisor coincide con la autoridad de certificación esperada.
• El certificado contiene las entradas de hostname esperadas.
• Las fechas de validez del certificado son correctas.

Si la autoridad de certificación emisora no es de confianza en las estaciones de trabajo de los desarrolladores, distribuye el certificado CA a los usuarios antes de que se conecten a Bob usando bob-ide o bob-shell.

Determinar la configuración del certificado

Comprueba si el endpoint externo de Bob está usando un certificado autofirmado:

oc get secret bob-external-tls -n <instance-namespace> \
  -o jsonpath='{.data.tls\.crt}' \
  | base64 -d \
  | openssl x509 -noout -issuer

• Si el emisor es CN=Bob Internal CA, el clúster está usando el certificado autofirmado predeterminado. Continúa con el siguiente paso.
• Si el emisor es una autoridad de certificación empresarial o de confianza pública, no se requiere configuración de certificado del lado del cliente. Consulta Gestión de usuarios.

Exportar el certificado CA

./bobctl get-ca-cert --output bob-ca.crt

Distribuir el certificado CA

Proporciona el bob-ca.crt exportado a los usuarios e instrúyeles para que lo añadan a su almacén de confianza del sistema operativo. Los usuarios pueden establecer conexiones HTTPS de confianza después de importar el certificado CA de Bob.