Frytea's Blog
·
harbor 替换 ssl 证书
内容提要
最近内网Harbor迁移后，需要为新地址签发SSL证书。步骤包括：删除旧证书、生成新私钥和证书签名请求（CSR）、编辑扩展文件、生成新证书、转换格式、更新配置文件，并重启Harbor以加载新证书。同时，Docker客户端需存放CA证书。
关键要点
-
迁移到新地址后，需要为新的地址签发SSL证书。
-
删除旧证书的命令为：$ rm 10.1.40.39.*。
-
生成新的私钥的命令为：$ openssl genrsa -out 10.1.40.39.key 4096。
-
生成新的证书签名请求（CSR）的命令为：$ openssl req -sha512 -new -subj "/C=CN/ST=Guangdong/L=Guangzhou/O=Wuzhou/OU=RD/CN=10.1.40.39" -key 10.1.40.39.key -out 10.1.40.39.csr。
-
编辑x509 v3扩展文件，增加新的地址。
-
生成新的证书的命令为：$ openssl x509 -req -sha512 -days 3650 -extfile v3.ext -CA ca.crt -CAkey ca.key -CAcreateserial -in 10.1.40.39.csr -out 10.1.40.39.crt。
-
转换证书格式的命令为：$ openssl x509 -inform PEM -in 10.1.40.39.crt -out 10.1.40.39.cert。
-
更新配置文件的命令为：$ vim harbor.yml。
-
重启Harbor以加载新证书的命令为：$ ./install.sh --with-notary --with-trivy --with-chartmuseum。
-
Docker客户端需在新的地址下存放CA证书。
延伸解读
SSL证书的重要性
在内网环境中，使用SSL证书可以确保数据传输的安全性，防止中间人攻击。尽管直接使用HTTP可以简化操作，但在涉及敏感数据时，SSL证书是不可或缺的。
迁移后的配置注意事项
迁移到新地址后，确保更新Harbor的配置文件和Docker客户端的CA证书存放路径，以避免因证书不匹配导致的连接问题。重启Harbor是加载新证书的关键步骤。
证书生成过程中的风险
在生成新的SSL证书时，任何步骤的错误都可能导致证书无效或无法使用。特别是在编辑扩展文件时，确保新地址的正确性，以免影响服务的正常运行。
延伸问答
如何为Harbor的新地址签发SSL证书？
需要删除旧证书、生成新私钥和证书签名请求（CSR）、编辑扩展文件、生成新证书、转换格式、更新配置文件，并重启Harbor。
删除旧证书的命令是什么？
删除旧证书的命令为：$ rm 10.1.40.39.*。
如何生成新的私钥？
生成新的私钥的命令为：$ openssl genrsa -out 10.1.40.39.key 4096。
生成证书签名请求（CSR）的命令是什么？
生成新的证书签名请求（CSR）的命令为：$ openssl req -sha512 -new -subj "/C=CN/ST=Guangdong/L=Guangzhou/O=Wuzhou/OU=RD/CN=10.1.40.39" -key 10.1.40.39.key -out 10.1.40.39.csr。
如何更新Harbor的配置文件？
更新配置文件的命令为：$ vim harbor.yml。
重启Harbor以加载新证书的命令是什么？
重启Harbor以加载新证书的命令为：$ ./install.sh --with-notary --with-trivy --with-chartmuseum。
