Alibaba Cloud Service Mesh:Gerenciar certificados TLS no ASM

Pré-requisitos

• Você added a cluster to an ASM instance, e a versão da instância é 1,17 ou posterior.

Etapa 1: Preparar um certificado de servidor e uma chave privada

1. Execute o comando a seguir para criar um certificado raiz e uma chave privada.

   openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -subj '/O=myexample Inc./CN=aliyun.com' -keyout aliyun.root.key -out aliyun.root.crt 

2. Execute os comandos a seguir para gerar um certificado e uma chave privada para o servidor aliyun.com. O certificado é válido por 365 dias.

   openssl req -out aliyun.com.csr -newkey rsa:2048 -nodes -keyout aliyun.com.key -subj "/CN=aliyun.com/O=myexample organization"
   openssl x509 -req -days 365 -CA aliyun.root.crt -CAkey aliyun.root.key -set_serial 0 -in aliyun.com.csr -out aliyun.com.crt

3. Execute os comandos a seguir para gerar um certificado prestes a expirar e uma chave privada para o servidor aliyun.com. O certificado é válido por um dia.

   Este certificado de um dia é usado para testar o recurso de alerta de expiração de certificado do ASM.

   openssl req -out expiring.aliyun.com.csr -newkey rsa:2048 -nodes -keyout expiring.aliyun.com.key -subj "/CN=aliyun.com/O=myexample organization"
   openssl x509 -req -days 1 -CA aliyun.root.crt -CAkey aliyun.root.key -set_serial 0 -in expiring.aliyun.com.csr -out expiring.aliyun.com.crt

(Opcional) Etapa 2: Ativar a coleta de logs do plano de controle e alertas de certificado

Ative a coleta de logs do plano de controle e configure alertas para certificados expirados e certificados prestes a expirar. O ASM considera um certificado "prestes a expirar" quando seu período de validade é inferior a 30 dias.

• Para instâncias ASM anteriores à versão 1.17.2.35, consulte Enable control-plane log collection and log-based alerting (for earlier versions).

• Para instâncias ASM na versão 1.17.2.35 ou posterior, consulte Enable control-plane log collection and log-based alerting (for new versions).

Na página Control-plane Log Alert Settings, localize as políticas de alerta relacionadas a certificados (Expired certificate exists in certificate management e Certificate that is about to expire exists in certificate management), clique em Enable Alert à direita de cada política e selecione Service Mesh ASM Built-in Action Policy (Recommended).

Etapa 3: Criar certificados

1. Crie um certificado padrão.

   1. Acesse o ASM console. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique no nome da instância ASM. No painel de navegação à esquerda, escolha ASM Gateways > Certificate Management.

   3. Na página Certificate Management, clique em Create. No painel Certificate Information, configure os parâmetros e clique em OK.

      Parameter	Description
      Name	Nome personalizado para o certificado.
      Namespaces	Padrão: istio-system.
      Public Key Certificate	Conteúdo do arquivo aliyun.com.crt gerado em Step 2 of Step 1.
      Private Key	Conteúdo do arquivo aliyun.com.key gerado em Step 2 in Step 1.
      Enable mTLS	Para comunicação mTLS, ative esta opção e insira o conteúdo do seu certificado CA na caixa de texto CA Certificate.

2. Consulte Step 1 e crie um certificado prestes a expirar.

   Em Public Key Certificate e Private Key, use o conteúdo dos arquivos expiring.aliyun.com.crt e expiring.aliyun.com.key gerados em Step 3 in Step 1, respectivamente. Após a criação dos certificados, a página Certificate Management exibe dois novos registros: expiring-cert com status Normal e test-cert com status Expiring soon. O nome de domínio de ambos os certificados é aliyun.com, e o tipo é TLS. Na coluna Operation, clique em Details para ver os detalhes de um certificado ou em Edit para modificar seu conteúdo.

3. (Opcional) Visualize os logs de alerta de certificado.

   Before 1.17.2.35

   1. Acesse o ASM console. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique no nome da instância ASM. No painel de navegação à esquerda, escolha Instance Information > Base Information.

   3. Na seção Config Info, à direita de Control-plane log collection, clique em View log. Na lista Logstores à esquerda, clique em internal-alert-history. Na página internal-alert-history, pesquise os logs de alerta de certificate inserindo a palavra-chave certificate, selecionando 30 Days (Relative) como intervalo de tempo e clicando em Query/Analyze. Os resultados exibem um total de 28 logs de alerta, incluindo registros em que AlertDisplayName é "certificate about to expire".

   1.17.2.35 and later

   1. Acesse o ASM console. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique no nome da instância ASM. No painel de navegação à esquerda, escolha Observability Management Center > Log Center.

   3. Na página Log Center, clique na aba Control-Plane Logs. Insira Certificate na caixa de pesquisa e clique em Query/Analysis para ver os logs de alerta.

   Nota

   O ASM verifica alertas de expiração de certificado a cada 6 horas. Se nenhum log de alerta aparecer, aguarde 6 horas e verifique novamente.

4. Use os certificados do gerenciamento de certificados.

   Após criar os certificados na página Certificate Management, é possível referenciá-los diretamente nos seguintes cenários:

   • Ao criar ou modificar um recurso Gateway via YAML, defina o campo credentialName com o nome do certificado para configurar o TLS. Para mais informações, consulte Manage a Gateway.

   • Ao criar um recurso Gateway pela interface gráfica no ASM console, selecione um certificado em Certificate Management. Para mais informações, consulte Manage a Gateway.

   • Ao criar um domínio na página Domain/Certificate da visão geral do gateway, referencie diretamente um certificado do Certificate Management para a configuração TLS. Para mais informações, consulte Add a Certificate for a Domain.

Etapa 4: Migração de certificados

A partir da versão 1,17, o ASM oferece suporte ao gerenciamento de certificados na página ASM Gateway > Certificate Management. Caso você tenha criado certificados na página Domain/Certificate da visão geral do gateway, migre-os para a página Certificate Management.

Na página Certificate Management, crie um certificado com o mesmo nome e cole as informações do certificado original. Essa ação transfere o gerenciamento do certificado para a página Certificate Management.