istio ca rotation configurator 源码

Istio CA轮换 介绍 这是用于旋转Istio中间CA的控制器(将来将支持根CA旋转)。 有关该过程的信息,请参见 。 创建一个基于当前根CA的新中间CA。 安装具有已知名称的NewCA CR,该名称指向新的中间CA机密。 控制器检查中间CA证书是否已更改。 它将新的CA证书和密钥作为插件CA安装,然后重新启动istiod。 然后,工作负载证书将传播到工作负载。 如果更改了根证书,控制器将不会轮换证书。 控制器在NewCA对象的“状态”字段中报告错误和条件。 以后的工作(如果根CA已更改): 创建组合的CA机密(旧的和新的CA证书一起)并安装它。 等待它传播到工作负载。 组合的证书意味着工作负载将能够对mTLS连接进行身份验证,无论连接的另一端是否具有已由新CA密钥签名的证书。 当所有工作负载都更新了工作负载证书后,CA机密将更新为仅包含新的中间证书。 安装 # Buil