Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo illustra come aggiungere certificati radice all'host di contenitori Azure Linux per Servizio Azure Kubernetes (AKS), in modo che l'host di contenitori possa ritenere attendibili autorità di certificazione aggiuntive oltre al set minimo di autorità di certificazione Microsoft incluse nell'immagine di base.
Per altre informazioni sull'host contenitore Linux di Azure per le certificazioni delle immagini del servizio Azure Kubernetes, vedere la documentazione di GitHub.
Certificati predefiniti e fiducia
Per impostazione predefinita, l'host contenitore Linux di Azure per l'immagine del servizio Azure Kubernetes ha un set minimo di certificati radice per considerare attendibili determinate risorse Microsoft, ad esempio packages.microsoft.com. Tutti i certificati Microsoft non sono inclusi automaticamente nell'immagine, che è coerente con il principio dei privilegi minimi e offre la flessibilità di acconsentire esplicitamente solo ai certificati radice necessari e personalizzare l'immagine.
Il ca-certificates-base è preinstallato nell'immagine host del contenitore e contiene i certificati di un piccolo set di CA di proprietà di Microsoft. È costituito da certificati delle CA radice e intermedie di Microsoft. Questo pacchetto consente all'host contenitore di considerare attendibile un set minimo di server, tutti verificati e che hanno rilasciato i certificati da Microsoft.
Il ca-certificates copre l'attendibilità radice delle CA da parte di Microsoft tramite il Microsoft Trusted Root Program.
La directory /etc/pki/ca-trust/source/ contiene i certificati CA e le impostazioni di attendibilità nel formato di file PEM. Le impostazioni di attendibilità disponibili qui vengono interpretate con una priorità elevata (superiore a quelle presenti in /usr/share/pki/ca-trust-source/).
Aggiungere un certificato nel formato di file PEM o DER
È possibile aggiungere singoli o più certificati all'immagine dell'host contenitore Linux di Azure per il servizio Azure Kubernetes. Per aggiungere un certificato nel formato di file PEM o DER semplice all'elenco di CA attendibili nel sistema, seguire questa procedura:
- Salvare il certificato in
etc/pki/ca-trust/source/anchors/. - Eseguire
update-ca-trustper consolidare i certificati CA e l'attendibilità associata.
Aggiungere un certificato nel formato di file BEGIN TRUSTED esteso
Se il certificato è in formato file BEGIN TRUSTED esteso (che potrebbe contenere flag di sfiducia o flag di attendibilità per usi diversi da TLS), segua questi passaggi:
- Salvare il certificato in
etc/pki/ca-trust/source/. - Eseguire
update-ca-trustper consolidare i certificati CA e l'attendibilità associata.