ssl - 如何让 gitlab 使用由内部 CA 生成的私有(private)信任证书

Question

我正在尝试使用 helm 安装 gitlab。我有一个由内部证书颁发机构颁发给我的证书，并且我使用了 .pem和 .key文件以使用以下命令生成 tls secret:

kubectl create secret tls gitlab-cert --cert=<cert>.pem --key=<cert>.key

当我运行 helm 安装时，我希望能够使用 https://{internal-domain} 查看 gitlab ，但是我得到下图。

HELM 安装配置

helm install gitlab gitlab/gitlab \
  --timeout 600s \
  --set global.hosts.domain=${hosts_domain} \
  --namespace ${helm_namespace} \
  --set global.hosts.externalIP=${static_ip} \
  --set postgresql.install=false \
  --set global.psql.host=${postgres_sql_ip} \
  --set global.psql.password.secret=${k8s_password_secret} \
  --set global.psql.username=${postgres_sql_user} \
  --set global.psql.password.key=${k8s_password_key}
  --set global.psql.ssl.secret=${psql_ssl_secret} \
  --set global.psql.ssl.clientCertificate=${psql_ssl_client_certificate} \
  --set global.psql.ssl.clientKey=${psql_ssl_client_key} \
  --set global.psql.ssl.serverCA=${psql_ssl_server_ca} \
  --set global.extraEnv.PGSSLCERT=${extra_env_pg_ssl_cert} \
  --set global.extraEnv.PGSSLKEY=${extra_env_pg_ssl_key} \
  --set global.extraEnv.PGSSLROOTCERT=${extra_env_pg_ssl_root_cert} \
  --set global.host.https=true \
  --set global.ingress.tls.enabled=true \
  --set global.ingress.tls.secretName=${gitlab-cert} \
  --set certmanager.install=false \
  --set global.ingress.configureCertmanager=false \
  --set gitlab.webservice.ingress.tls.secretName=${gitlab-cert}

pod 运行良好。

Answer 1

发布社区 wiki 答案以获得更好的可见性。随意扩展它。

基于@sytech 评论:

The error you have there is CERT_WEAK_SIGNATURE_ALGORITHM. It seems you should probably regenerate your certificate using a stronger algorithm.

您可能正在使用一些弱签名算法。两个 Chrome和 Mozilla Firefox不是 treating certificates based on weak algorithms as secure :

SHA-1 certificates will no longer be treated as secure by major browser manufacturers beginning in 2017.

Support for MD5 based signatures was removed in early 2012.

请确保您是 using more secure algorithm :

We encourage Certification Authorities (CAs) and Web site administrators to upgrade their certificates to use signature algorithms with hash functions that are stronger than SHA-1, such as SHA-256, SHA-384, or SHA-512.

另一种选择是它可能是您的问题 - 检查您的网络和浏览器设置 - steps are presented in this article .