Kubernetes CSR を使用したカスタム CA 統合

この機能には、Kubernetesバージョン1.18以上が必要です。

このタスクでは、Kubernetes CSR API⁷と統合するカスタム証明書認証局を使用して、ワークロード証明書をプロビジョニングする方法を示します。異なるワークロードは、異なる証明書署名者から証明書に署名させることができます。各証明書署名者は、事実上異なるCAです。同じ証明書署名者から発行された証明書を持つワークロードは、互いにmTLSで通信できますが、異なる署名者によって署名されたワークロードは通信できません。この機能は、Kubernetes CSR APIを使用して証明書に署名するIstiodにリンクされた軽量コンポーネントであるChiron⁸を活用します。

この例では、オープンソースのcert-manager⁹を使用します。Cert-managerは、バージョン1.4以降でKubernetes CertificateSigningRequestsの試験的なサポート¹⁰を追加しました。

Kubernetes クラスタにカスタム CA コントローラをデプロイする

1. インストール手順¹¹に従って、cert-managerをデプロイします。

   $ helm repo add jetstack https://charts.jetstack.io
   $ helm repo update
   $ helm install cert-manager jetstack/cert-manager --namespace cert-manager --create-namespace --set featureGates="ExperimentalCertificateSigningRequestControllers=true" --set installCRDs=true
   

2. cert-manager用に、3つの自己署名クラスタ発行者 `istio-system`、`foo`、`bar` を作成します。注：名前空間発行者や他のタイプの発行者も使用できます。

   $ cat <<EOF > ./selfsigned-issuer.yaml
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: selfsigned-bar-issuer
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: bar-ca
     namespace: cert-manager
   spec:
     isCA: true
     commonName: bar
     secretName: bar-ca-selfsigned
     issuerRef:
       name: selfsigned-bar-issuer
       kind: ClusterIssuer
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: bar
   spec:
     ca:
       secretName: bar-ca-selfsigned
   ---
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: selfsigned-foo-issuer
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: foo-ca
     namespace: cert-manager
   spec:
     isCA: true
     commonName: foo
     secretName: foo-ca-selfsigned
     issuerRef:
       name: selfsigned-foo-issuer
       kind: ClusterIssuer
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: foo
   spec:
     ca:
       secretName: foo-ca-selfsigned
   ---
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: selfsigned-istio-issuer
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: cert-manager
   spec:
     isCA: true
     commonName: istio-system
     secretName: istio-ca-selfsigned
     issuerRef:
       name: selfsigned-istio-issuer
       kind: ClusterIssuer
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: istio-system
   spec:
     ca:
       secretName: istio-ca-selfsigned
   EOF
   $ kubectl apply -f ./selfsigned-issuer.yaml
   

各クラスタ発行者に対してシークレットが作成されていることを確認する

$ kubectl get secret -n cert-manager -l controller.cert-manager.io/fao=true
NAME                  TYPE                DATA   AGE
bar-ca-selfsigned     kubernetes.io/tls   3      3m36s
foo-ca-selfsigned     kubernetes.io/tls   3      3m36s
istio-ca-selfsigned   kubernetes.io/tls   3      3m38s

各クラスタ発行者のルート証明書をエクスポートする

$ export ISTIOCA=$(kubectl get clusterissuers istio-system -o jsonpath='{.spec.ca.secretName}' | xargs kubectl get secret -n cert-manager -o jsonpath='{.data.ca\.crt}' | base64 -d | sed 's/^/        /')
$ export FOOCA=$(kubectl get clusterissuers foo -o jsonpath='{.spec.ca.secretName}' | xargs kubectl get secret -n cert-manager -o jsonpath='{.data.ca\.crt}' | base64 -d | sed 's/^/        /')
$ export BARCA=$(kubectl get clusterissuers bar -o jsonpath='{.spec.ca.secretName}' | xargs kubectl get secret -n cert-manager -o jsonpath='{.data.ca\.crt}' | base64 -d | sed 's/^/        /')

デフォルトの cert-signer 情報を使用して Istio をデプロイする

1. 以下の設定で、`istioctl` を使用してIstioをクラスタにデプロイします。`ISTIO_META_CERT_SIGNER` は、ワークロードのデフォルトの証明書署名者です。

   $ cat <<EOF > ./istio.yaml
   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     values:
       pilot:
         env:
           EXTERNAL_CA: ISTIOD_RA_KUBERNETES_API
     meshConfig:
       defaultConfig:
         proxyMetadata:
           ISTIO_META_CERT_SIGNER: istio-system
       caCertificates:
       - pem: |
   $ISTIOCA
         certSigners:
         - clusterissuers.cert-manager.io/istio-system
       - pem: |
   $FOOCA
         certSigners:
         - clusterissuers.cert-manager.io/foo
       - pem: |
   $BARCA
         certSigners:
         - clusterissuers.cert-manager.io/bar
     components:
       pilot:
         k8s:
           env:
           - name: CERT_SIGNER_DOMAIN
             value: clusterissuers.cert-manager.io
           - name: PILOT_CERT_PROVIDER
             value: k8s.io/clusterissuers.cert-manager.io/istio-system
           overlays:
             - kind: ClusterRole
               name: istiod-clusterrole-istio-system
               patches:
                 - path: rules[-1]
                   value: |
                     apiGroups:
                     - certificates.k8s.io
                     resourceNames:
                     - clusterissuers.cert-manager.io/foo
                     - clusterissuers.cert-manager.io/bar
                     - clusterissuers.cert-manager.io/istio-system
                     resources:
                     - signers
                     verbs:
                     - approve
   EOF
   $ istioctl install --skip-confirmation -f ./istio.yaml
   

2. `bar` と `foo` の名前空間を作成します。

   $ kubectl create ns bar
   $ kubectl create ns foo
   

3. `bar` 名前空間のワークロードの証明書署名者を定義するために、`bar` 名前空間に `proxyconfig-bar.yaml` をデプロイします。

   $ cat <<EOF > ./proxyconfig-bar.yaml
   apiVersion: networking.istio.io/v1beta1
   kind: ProxyConfig
   metadata:
     name: barpc
     namespace: bar
   spec:
     environmentVariables:
       ISTIO_META_CERT_SIGNER: bar
   EOF
   $ kubectl apply  -f ./proxyconfig-bar.yaml
   

4. `foo` 名前空間のワークロードの証明書署名者を定義するために、`foo` 名前空間に `proxyconfig-foo.yaml` をデプロイします。

   $ cat <<EOF > ./proxyconfig-foo.yaml
   apiVersion: networking.istio.io/v1beta1
   kind: ProxyConfig
   metadata:
     name: foopc
     namespace: foo
   spec:
     environmentVariables:
       ISTIO_META_CERT_SIGNER: foo
   EOF
   $ kubectl apply  -f ./proxyconfig-foo.yaml
   

5. `foo` と `bar` の名前空間に、`httpbin` と `curl` のサンプルアプリケーションをデプロイします。

   $ kubectl label ns foo istio-injection=enabled
   $ kubectl label ns bar istio-injection=enabled
   $ kubectl apply -f samples/httpbin/httpbin.yaml -n foo
   $ kubectl apply -f samples/curl/curl.yaml -n foo
   $ kubectl apply -f samples/httpbin/httpbin.yaml -n bar
   

同じ名前空間内の httpbin と curl 間のネットワーク接続を確認する

ワークロードがデプロイされると、関連する署名者情報を含むCSRリクエストを送信します。IstiodはCSRリクエストをカスタムCAに転送して署名します。カスタムCAは、正しいクラスタ発行者を使用して証明書に署名して返します。`foo` 名前空間のワークロードは `foo` クラスタ発行者を使用し、`bar` 名前空間のワークロードは `bar` クラスタ発行者を使用します。正しいクラスタ発行者によって署名されていることを確認するには、同じ名前空間のワークロードが通信できる一方で、異なる名前空間のワークロードは通信できないことを確認します。

1. `CURL_POD_FOO` 環境変数を `curl` ポッドの名前に設定します。

   $ export CURL_POD_FOO=$(kubectl get pod -n foo -l app=curl -o jsonpath={.items..metadata.name})
   

2. `foo` 名前空間のサービス `curl` と `httpbin` 間のネットワーク接続を確認します。

   $ kubectl exec "$CURL_POD_FOO" -n foo -c curl -- curl http://httpbin.foo:8000/html
   <!DOCTYPE html>
   <html>
     <head>
     </head>
     <body>
         <h1>Herman Melville - Moby-Dick</h1>
   
         <div>
           <p>
             Availing himself of the mild...
           </p>
         </div>
     </body>
   

3. `foo` 名前空間のサービス `curl` と `bar` 名前空間の `httpbin` 間のネットワーク接続を確認します。

   $ kubectl exec "$CURL_POD_FOO" -n foo -c curl -- curl http://httpbin.bar:8000/html
   upstream connect error or disconnect/reset before headers. reset reason: connection failure, transport failure reason: TLS error: 268435581:SSL routines:OPENSSL_internal:CERTIFICATE_VERIFY_FAILED
   

クリーンアップ

• 名前空間を削除し、Istioとcert-managerをアンインストールします。

  $ kubectl delete ns foo
  $ kubectl delete ns bar
  $ istioctl uninstall --purge -y
  $ helm delete -n cert-manager cert-manager
  $ kubectl delete ns istio-system cert-manager
  $ unset ISTIOCA FOOCA BARCA
  $ rm -rf istio.yaml proxyconfig-foo.yaml proxyconfig-bar.yaml selfsigned-issuer.yaml
  

この機能を使用する理由

• カスタムCA統合 - Kubernetes CSRリクエストで署名者名を指定することにより、この機能により、IstioはKubernetes CSR APIインターフェースを使用してカスタム証明書認証局と統合できます。これには、カスタムCAが `CertificateSigningRequest` リソースを監視し、それらに対して動作するKubernetesコントローラーを実装する必要があります。

• より優れたマルチテナンシー - 異なるワークロードに異なる証明書署名者を指定することにより、異なるテナントのワークロードの証明書を異なるCAで署名できます。