如何在 Istio 中使用我自己的 mTLS 根证书？答案

【问题标题】：How to use my own root certificate for mTLS in Istio?如何在 Istio 中使用我自己的 mTLS 根证书？
【发布时间】：2022-07-20 04:33:21
【问题描述】：

我是 Istio 的新手，我想在 Istio 中为 mTLS 使用我自己的根证书。我正在关注这个文档：https://istio.io/latest/docs/tasks/security/cert-management/plugin-ca-cert/

我按照说明进行操作，效果很好。

它在 istio-system 命名空间中创建一个名为 cacerts 的秘密来存储证书，并且 Istio 将这些证书用作 mTLS 的根证书和中间证书。

现在，我想知道两件事：

当我将密钥名称从 cacerts 更改为 cacerts1 时，Istio 不再使用 cacert1 中存在的证书。我应该怎么做才能让 Istio 使用存储在与 cacert 不同的密钥中的证书？
如果我的密钥（包含证书）存在于不同的命名空间中，我该如何使用该密钥？

【问题讨论】：

标签： istio

【解决方案1】：

如果您携带自己的证书而不是 istio 自己的自签名证书，则必须将机密文件名命名为 cacert。对于您的第二个问题，cacert 密钥是命名空间范围内的，并且只能在 istio-system 命名空间中。

【讨论】：

【解决方案2】：

我能够部分解决这个问题。假设你在命名空间 istio-system 中有一个名为 customsecret 的秘密，那么你可以使用这个文件来实现：

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  namespace: istio-system
  name: istiocontrolplane
spec:
  components:
    pilot:
      k8s:
        env:
        overlays:
        - apiVersion: apps/v1
          kind: Deployment
          name: istiod
          patches:
          - path: spec.template.spec.volumes.[name:cacerts].secret.secretName
            value: "customsecret"

只要确保命名空间 istio-system 中存在秘密。我找不到使用 istio-system 命名空间中不存在的秘密的方法。

【讨论】：