在相互 TLS 身份验证中吊销 SSL 证书

Question

我正在尝试为部署在 Kubernetes 集群中的应用启用基于相互 TLS 的身份验证。

用例：

1. 希望将我们的应用程序的访问权限限制为仅具有受信任客户端证书的用户。
2. 基于某些情况/条件，我还想吊销特定用户的证书，以便该用户不再能够使用他/她的证书访问应用程序。

我尝试通过添加以下注释在 kuberentes 入口控制器（基于 nginx）上设置 Mutual TLS。

    nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
    nginx.ingress.kubernetes.io/auth-tls-secret: "ca-cert"

ca-cert 是 kubernetes 机密，包含用于颁发客户端证书的 CA 证书。通过这种方式，ingress 会针对 ca-cert 验证作为请求的一部分发送的客户端证书。

这对于ca-cert 签名的任何客户端证书都非常有效。我正在尝试提出证书吊销过程的解决方案。需要这方面的建议。

是否可以信任单个客户端证书而不是入口中的 CA 证书？这将有助于我们撤销个别客户证书。

Answer 1

如果我理解正确，您需要使用 Nginx 证书吊销列表。 它应该通过使用标准 Nginx 配置来完成（以标准格式创建，添加到文件，从 Ingress 更新文件）。 这里有更多关于此的details / tutorials。

如果有帮助，请告诉我。