kubernetes-ingress - 入口客户端证书身份验证需要秘密存储 CA 证书吗？

Question

我想在我的 AKS 群集中启用客户端证书身份验证，我有一个我似乎不明白的基本问题。根据文档，入口要求将 CA 证书存储在机密中。我的问题是：假设我使用由受信任的 CA 颁发的客户端证书（这就是正确的工作方式？CA 颁发他们签署的客户端证书？），为什么受信任的 CA 会给我他们的 CA 证书以进行存储在 AKS 群集中作为秘密？CA 是否只是将其证书分发给公众？这不是安全问题吗？（因为我可以使用该 CA 证书签署客户端证书）

标签： kubernetes-ingressazure-aksclient-certificatescacacerts

Answer 1

CA 证书.crt文件不包含私钥。它只包含公钥+证书信息，是公开的，不能用来签署新的证书。您可以安全地将其存储ca.crt在 Kubernetes Secret 中，它只需要服务器证书的私钥。