引言
在微服務架構與多租戶環境中，TLS 認證的規模化部署與管理成為關鍵挑戰。本文探討如何透過 CNCF 生態中的 Search Manager 與 Trust Manager，結合 Kubernetes 與 Kafka 的多租戶特性，實現自動化、安全且可擴展的 TLS 證書管理方案，並解決證書生命週期、信任鏈輪換與多租戶隔離等核心問題。
技術與架構解析
1. 技術定義與核心概念
- TLS 自服務（Self-Service）：透過 Search Manager 提供證書自動發行與管理，降低人工介入需求。
- 多租戶（Multi-Tenant）：在共享 Kubernetes 集群中，透過命名空間與 ServiceAccount 控制證書訪問權限，確保租戶間隔離。
- 信任鏈管理（Trust Chain）：透過 Trust Manager 管理多 CA 信任憑證包（Trust Bundle），支援平滑 CA 輪換與信任鏈更新。
- X509 SVIDs 認證：以 URI 屬性（如
spiffe://cluster.namespace/workload）作為 Kafka ACL 授權依據，實現服務端驗證。
2. 關鍵技術特性
- 自動化證書生命週期：短生命週期證書透過 Search Manager 自動發行與更新，避免手動流程。
- 信任鏈平滑過渡：透過 Trust Bundle 載入多 CA，更新時僅需修改 ConfigMap，無需中斷服務。
- 多租戶隔離機制：利用 ClusterIssuer 控制證書發行權限，並透過 ServiceAccount 設定訪問策略。
- Kafka ACL 整合：證書 URI 屬性與 Kafka ACL 角色綁定，確保僅授權服務可訪問特定主題。
3. 實際應用案例
- Search Manager 配置：
- 設定 ClusterIssuer 限制證書發行範圍，避免非預期請求。
- 透過 ServiceAccount 註解觸發控制器，自動發行 TLS.crt/TLS.key 到 Secret。
- 證書自動掛載至 Kafka 客戶端 Pod，實現服務端 TLS 驗證。
- Trust Manager 配置：
- 定義 Trust Bundle 支援多 CA，透過 ConfigMap 管理信任憑證。
- 使用 Reloader 進行配置更新，觸發滾動重啟確保信任鏈更新無縫。
- 證書格式要求：
- 證書需包含 URI 屬性，並設定 Trust Domain 作為集群識別。
- 證書請求需符合命名空間 URI 前綴或 DNS 名稱後綴規則。
4. 優勢與挑戰
- 優勢：
- 自動化降低人工管理成本，提升證書發行效率。
- 信任鏈管理支援多 CA 並行，避免單點故障。
- 多租戶隔離機制確保租戶間證書不混淆。
- 挑戰：
- 需嚴格控制 ServiceAccount 訪問權限，避免跨租戶證書洩漏。
- 證書 URI 格式需與 Kafka ACL 規則嚴格匹配，否則導致授權失敗。
- CA 輪換時需確保所有服務端與客戶端同時更新信任鏈。
總結
本文提出的 TLS 多租戶解決方案，透過 Search Manager 與 Trust Manager 的整合，實現證書自服務、信任鏈管理與多租戶隔離。關鍵在於透過 URI 屬性與 Kafka ACL 整合，確保服務端驗證安全性，並透過 Trust Bundle 支援平滑 CA 輪換。建議在部署時嚴格設定 approvals policy 並監控證書生命週期，以維護系統安全與穩定性。