Léim go dtí an t-ábhar

Deimhnithe na braisle PostgreSQL a athnuachan

Ullmhúcháin

Athnuachan an deimhnithe

Sula ndéanann tú aon ghníomh ar nóid na braisle PostgreSQL, ullmhaigh deimhnithe nua do gach ceann de nóid na braisle. Mar mheabhrúchán, ní mór do na deimhnithe roinnt srianta a chomhlíonadh atá sonraithe i réamhriachtanais na braisle PostgreSQL.

Más mian leat an t-athrú a dhéanamh le linn oibríochta gan tionchar a imirt ar an táirgeadh, ní mór duit na coinníollacha seo a leanas a chomhlíonadh:

  • Níor athnuaíodh an t-údarás deimhniúcháin ó gineadh deimhnithe na nód PostgreSQL an uair dheireanach
  • Ní rachaidh an t-údarás deimhniúcháin as feidhm le linn tréimhse bailíochta na ndeimhnithe nua
  • Is féidir leat deimhnithe a ghiniúint agus a shíniú fós leis an údarás deimhniúcháin céanna a úsáideadh nuair a gineadh na deimhnithe roimhe seo do na nóid PostgreSQL
  • Níl deimhnithe na nód PostgreSQL imithe in éag fós

Má chomhlíontar na coinníollacha seo, is féidir leat smaoineamh ar na deimhnithe a athnuachan le linn oibríochta gan an táirgeadh a stopadh.

Chun deimhnithe a athghiniúint leis an PKI openssl a luaitear, go roghnach, i ndoiciméadú suiteála na braisle PostgreSQL, ní mór duit eochair an údaráis deimhniúcháin a athúsáid agus ansin na horduithe chun na deimhnithe a ghiniúint a rith arís.

Mura féidir na deimhnithe a athnuachan le linn oibríochta agus má tá PKI á úsáid agat trí openssl, molaimid duit ceann nua a chruthú.

Na deimhnithe a ullmhú

Beidh ort deimhniú an údaráis deimhniúcháin fréimhe, a bhfuil an iarmhír .crt air, a sheoladh chuig /tmp/ ar gach ceann de na nóid PostgreSQL.

Beidh ort freisin an deimhniú agus an eochair phríobháideach a bhaineann leis a sheoladh chuig /tmp/ ar gach ceann de na nóid PostgreSQL. Mura bhfuil ach comhad .p12 amháin ar fáil agat, rith na horduithe seo a leanas chun an deimhniú (psql.crt) agus an eochair phríobháideach (psql.key) a bhaint amach:

1
2
openssl pkcs12 -clcerts -nokeys -out psql.crt -in P12_CERT
openssl pkcs12 -nocerts -out psql.key -in P12_CERT

Sna horduithe roimhe seo, cuir ainm do chomhaid deimhnithe .p12 in ionad P12_CERT.

Athnuachan deimhnithe

Rabhadh!

Más féidir leat agus más mian leat nuashonrú le linn oibríochta a dhéanamh ar na deimhnithe agus an táirgeadh a bheith as feidhm ar feadh an achair is giorra is féidir (1 nóiméad + logáil amach na n-úsáideoirí), beidh ort:

  • Na deimhnithe a athnuachan i ndiaidh a chéile ar gach nód
  • Gan na deimhnithe a athnuachan ach ar nód REPLICA (féach conas faisnéis a fháil faoin nód LEADER)
  • Dhá nód PostgreSQL ar a laghad a choinneáil ag feidhmiú i gcónaí agus obair ar an tríú ceann
  • Chun obair ar an nód LEADER, aistrigh an LEADER chuig nód eile; logálfar na húsáideoirí amach leis an ngníomh seo agus ní bheidh an t-ardán ar fáil ar feadh thart ar 1 nóiméad

Chun na gníomhartha seo a leanas a shimpliú, saincheap na hathróga sna horduithe thíos le do luachanna féin (athraigh an saincheapadh do gach nód PostgreSQL):

Luach Athróg Sainmhíniú
PSQL_CERT Deimhniú nua an nóid PostgreSQL.
PSQL_KEY An eochair a bhaineann le deimhniú nua an nóid PostgreSQL.
PSQL_CA Deimhniú ón údarás deimhniúcháin fréimhe a úsáideadh chun deimhniú an nóid PostgreSQL a ghiniúint.

Ceangail trí SSH mar root leis an nód PostgreSQL ar mian leat a dheimhnithe a nuashonrú agus rith na horduithe seo a leanas chun na deimhnithe a athsholáthar:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
cp /tmp/PSQL_CERT /etc/etcd/peer.crt
cp /tmp/PSQL_CERT /etc/etcd/client.crt
cp /tmp/PSQL_CERT /etc/patroni/client.crt
cp /tmp/PSQL_KEY /etc/etcd/peer.key
cp /tmp/PSQL_KEY /etc/etcd/client.key
cp /tmp/PSQL_KEY /etc/patroni/client.key
cp /tmp/PSQL_CA /etc/etcd/ca.crt
cp /tmp/PSQL_CA /etc/patroni/ca.crt
cp /tmp/PSQL_CA /usr/local/share/ca-certificates/PSQL-CA-`date +%G-%m-%d`.crt
update-ca-certificates

Chun na hathruithe ar na deimhnithe a chur i gcrích, ní mór duit an nód PostgreSQL a atosú:

1
reboot