ssl - 每个集群的证书还是每个服务提供商的证书？

Question

我们有服务提供商接受请求并创建 Elasticsearch 集群。

颁发 ssl 证书的最佳做法是什么？1. 我们应该为每个集群颁发证书吗？2. 或者我的服务提供商的一个集群应该足够用于访问集群？

我假设在创建集群时颁发新证书会更好。

请提供输入。

此外，在集群内部，我真的需要启用 ssl 以便 pod 相互通信并传递证书吗？

Answer 1

是的，您绝对应该使用 TLS 来加密进出您的 Elasticsearch 集群以及在共享和托管 K8S 版本 (GKE) 上运行的 Elasticsearch 集群内的网络流量。

此外，我会选择最大程度地分隔客户空间:

• Kubernetes 命名空间
• 命名空间服务账户/角色绑定(bind)
  
  甚至是基于 PD-SSD 的卷，带有 customer supplied encryption key

我不确定您是否知道“Elastic Cloud on Kubernetes”的存在' (ECK) - 它应用 Kubernetes Operator 模式在 GCP 中您自己的 K8S 集群上运行和操作 Elasticsearch 集群。也将其视为以最安全的方式运行 Elasticsearch 集群的最佳实践的集合，here是一个快速入门教程。