Deimhnithe na braisle PostgreSQL a sheiceáil

Le linn na suiteála, le linn athnuachana, nó go simplí chun a fháil amach cathain a rachaidh deimhnithe na braisle PostgreSQL in éag, d'fhéadfadh sé a bheith úsáideach ábhar na ndeimhnithe a gineadh a scrúdú.

Seo a leanas na deimhnithe a úsáideann an bhraisle PostgreSQL:

/etc/etcd/
├── ca.crt
├── client.crt
├── client.key
├── peer.crt
└── peer.key

/etc/patroni/
├── ca.crt
├── client.crt
└── client.key

ca.crt

Deimhniú an údaráis deimhniúcháin fréimhe. Tá an deimhniú céanna sna comhadlanna /etc/patroni/ agus /etc/etcd/.

client.crt

Deimhniú an nóid PostgreSQL. Tá an deimhniú céanna sna comhadlanna /etc/patroni/ agus /etc/etcd/. Úsáideann patroni agus etcd é don chumarsáid chliaint idir na nóid.

client.key

An eochair a bhaineann leis an deimhniú client.crt.

peer.crt

An deimhniú céanna le client.crt. Úsáidtear é don chumarsáid inmheánach etcd idir na nóid.

peer.key

An eochair chéanna le client.key.

Mar sin, tá trí mhír ar fad ann:

• deimhniú an údaráis deimhniúcháin fréimhe (/etc/etcd/ca.crt, /etc/patroni/ca.crt);
• deimhniú an nóid PostgreSQL (/etc/etcd/client.crt, /etc/etcd/peer.crt, /etc/patroni/client.crt);
• an eochair a bhaineann le deimhniú an nóid PostgreSQL (/etc/etcd/client.key, /etc/etcd/peer.key, /etc/patroni/client.key).

Dáta éaga deimhnithe a sheiceáil

Chun dáta éaga deimhnithe a sheiceáil, úsáid an t-ordú thíos.

Is féidir leat an athróg a shaincheapadh don ordú seo a leanas:

Luach saincheaptha	Athróg	Nóta tráchta
	EXPIRY_CERT	Cosán an deimhnithe ar mian leat a dháta éaga a sheiceáil.

Nó líon an réimse le ceann de dheimhnithe na braisle:

/etc/etcd/ca.crt /etc/etcd/client.crt /etc/etcd/peer.crt /etc/patroni/ca.crt /etc/patroni/client.crt

openssl x509 -in EXPIRY_CERT -noout -enddate

Má tá an dáta éaga caite, meastar go bhfuil an deimhniú neamhbhailí.

Rabhadh

Má tá an t-údarás deimhniúcháin a d'eisigh an deimhniú imithe in éag, meastar go bhfuil an deimhniú neamhbhailí freisin. Dá bhrí sin, seiceáil dáta éaga an údaráis deimhniúcháin freisin.

Sampla

Chun dáta éaga an deimhnithe /etc/patroni/client.crt a sheiceáil, úsáidimid an t-ordú seo a leanas:

openssl x509 -in /etc/patroni/client.crt -noout -enddate

Is cosúil leis seo an t-aschur:

notAfter=Dec 18 14:04:09 2030 GMT

Anseo, rachaidh an deimhniú in éag an 18 Nollaig 2030 ag 14:04:09.

Na Subject Alternative Names atá ar dheimhniú a sheiceáil

Chun na SAN (Subject Alternative Names) atá ar dheimhniú a sheiceáil, is é sin, na hainmneacha agus na seoltaí IP a bhfuil sé bailí dóibh, úsáid an t-ordú thíos.

Is féidir leat an athróg a shaincheapadh don ordú seo a leanas:

Luach saincheaptha	Athróg	Nóta tráchta
	SAN_CERT	Cosán an deimhnithe ar mian leat a SAN a sheiceáil.

Nó líon an réimse le ceann de dheimhnithe na nód:

/etc/etcd/client.crt /etc/etcd/peer.crt /etc/patroni/client.crt

openssl x509 -in SAN_CERT -noout -ext subjectAltName

Mura bhfuil an t-ainm DNS nó an seoladh IP a úsáidtear chun ceangal le nód i measc SAN a dheimhnithe, meastar go bhfuil an ceangal neamhbhailí. Ar an gcaoi chéanna, nuair a osclaíonn nód ceangal le nód eile, mura dtagann an deimhniú a chuireann sé i láthair lena ainm DNS nó lena sheoladh IP féin, ní ghlacann an nód cianda leis an gceangal.

Sampla

Chun SAN an deimhnithe /etc/etcd/peer.crt a sheiceáil, úsáidimid an t-ordú seo a leanas:

openssl x509 -in /etc/etcd/peer.crt -noout -ext subjectAltName

Tugann an t-ordú toradh cosúil leis seo ar ais:

X509v3 Subject Alternative Name:
    DNS:PSQL_VIP, DNS:PSQL_2, IP Address:192.168.1.4, IP Address:192.168.1.2

Anseo, clúdaíonn an deimhniú na hainmneacha DNS PSQL_VIP agus PSQL_2, chomh maith leis na seoltaí IP 192.168.1.4 agus 192.168.1.2.

An t-údarás deimhniúcháin a d'eisigh deimhniú a sheiceáil

Nuair a ghintear deimhniú, is féidir an síneadh X509v3 Authority Key Identifier a chur leis. Is féidir leis an síneadh seo haiseáil eochair phoiblí an eisitheora a stóráil, a fhreagraíonn d'ábhar an tsínte X509v3 Subject Key Identifier atá ag an eisitheoir.

Faisnéis

Tá na sínte Authority Key Identifier agus Subject Key Identifier ag deimhnithe a gineadh agus doiciméadú suiteála na braisle PostgreSQL á leanúint.

Má tá na sínte seo i láthair, is féidir leat haiseáil eochair phoiblí eisitheoir an deimhnithe a fháil, agus ansin í a chur i gcomparáid leis an haiseáil sa síneadh Subject Key Identifier atá ag an CA a cheaptar a d'eisigh an deimhniú, chun a dhearbhú gurb é an ceann ceart é.

Chun luach an tsínte Authority Key Identifier atá ag deimhniú a fháil, úsáid an t-ordú thíos.

Is féidir leat an athróg a shaincheapadh don ordú seo a leanas:

Luach saincheaptha	Athróg	Nóta tráchta
	ISSUED_CERT	Cosán an deimhnithe ar mian leat a eisitheoir a sheiceáil.

Nó líon an réimse le ceann de dheimhnithe na nód:

/etc/etcd/client.crt /etc/etcd/peer.crt /etc/patroni/client.crt

openssl x509 -in ISSUED_CERT -noout -issuer -ext authorityKeyIdentifier

Faisnéis

Faigheann an rogha -issuer CN an deimhnithe a d'eisigh é.

Chun luach an tsínte Subject Key Identifier atá ag deimhniú a fháil, úsáid an t-ordú thíos.

Is féidir leat an athróg a shaincheapadh don ordú seo a leanas:

Luach saincheaptha	Athróg	Nóta tráchta
	ISSUER_CA	Cosán an deimhnithe a bhaineann leis an údarás deimhniúcháin a mheastar a bheith ina eisitheoir.

Nó líon an réimse le ceann de dheimhnithe an údaráis deimhniúcháin:

/etc/etcd/ca.crt /etc/patroni/ca.crt

openssl x509 -in ISSUER_CA -noout -subject -ext subjectKeyIdentifier

Faisnéis

Faigheann an rogha -subject CN an deimhnithe.

Sampla

Is mian linn a sheiceáil gurb é an CA sa chomhad /etc/patroni/ca.crt go deimhin a shínigh an deimhniú sa chomhad /etc/patroni/client.crt.
Ar dtús, faighimid ábhar an tsínte X509v3 Authority Key Identifier atá ag an deimhniú /etc/patroni/client.crt leis an ordú seo a leanas:

openssl x509 -in /etc/patroni/client.crt -noout -issuer -ext authorityKeyIdentifier

Tugann sé seo ar ais:

issuer=CN = BDD-ROOT-CA
X509v3 Authority Key Identifier:
    38:B3:EC:CD:20:90:80:A4:B3:60:F8:E5:7B:98:92:3B:7D:26:06:2B

Ansin, faighimid ábhar an tsínte X509v3 Subject Key Identifier atá ag an CA /etc/patroni/ca.crt leis an ordú seo a leanas:

openssl x509 -in /etc/patroni/ca.crt -noout -subject -ext subjectKeyIdentifier

Tugann sé seo ar ais:

subject=CN = BDD-ROOT-CA
X509v3 Subject Key Identifier:
    38:B3:EC:CD:20:90:80:A4:B3:60:F8:E5:7B:98:92:3B:7D:26:06:2B

Léiríonn comparáid idir an dá aschur go bhfuil an Key Identifier agus an CN comhionann: is é an deimhniú sa chomhad /etc/patroni/ca.crt go deimhin an CA a shínigh an deimhniú sa chomhad /etc/patroni/client.crt.