生成自签名证书

概述

本文档提供使用 cfssl 生成自签名证书的示例。

假设实例集群拓扑如下：

Name Host IP Services
node1 172.16.10.1 PD1, TiDB1
node2 172.16.10.2 PD2, TiDB2
node3 172.16.10.3 PD3
node4 172.16.10.4 TiKV1
node5 172.16.10.5 TiKV2
node6 172.16.10.6 TiKV3

下载 cfssl

假设使用 x86_64 Linux 主机：

  1. mkdir ~/bin
  2. curl -s -L -o ~/bin/cfssl https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
  3. curl -s -L -o ~/bin/cfssljson https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
  4. chmod +x ~/bin/{cfssl,cfssljson}
  5. export PATH=$PATH:~/bin

初始化证书颁发机构

生成 cfssl 的默认配置，以便于之后修改：

  1. mkdir ~/cfssl
  2. cd ~/cfssl
  3. cfssl print-defaults config > ca-config.json
  4. cfssl print-defaults csr > ca-csr.json

生成证书

证书介绍

  • tidb-server certificate 由 TiDB 使用，为其他组件和客户端验证 TiDB 身份。
  • tikv-server certificate 由 TiKV 使用，为其他组件和客户端验证 TiKV 身份。
  • pd-server certificate 由 PD 使用，为其他组件和客户端验证 PD 身份。
  • client certificate 用于通过 PD、TiKV、TiDB 验证客户端。例如 pd-ctl，tikv-ctl，pd-recover。

配置 CA 选项

根据实际需求修改 ca-config.json： 

  1. {
  2.     "signing": {
  3.         "default": {
  4.             "expiry": "43800h"
  5.         },
  6.         "profiles": {
  7.             "server": {
  8.                 "expiry": "43800h",
  9.                 "usages": [
  10.                     "signing",
  11.                     "key encipherment",
  12.                     "server auth",
  13.                     "client auth"
  14.                 ]
  15.             },
  16.             "client": {
  17.                 "expiry": "43800h",
  18.                 "usages": [
  19.                     "signing",
  20.                     "key encipherment",
  21.                     "client auth"
  22.                 ]
  23.             }
  24.         }
  25.     }
  26. }

根据实际需求修改 ca-csr.json ： 

  1. {
  2.     "CN": "My own CA",
  3.     "key": {
  4.         "algo": "rsa",
  5.         "size": 2048
  6.     },
  7.     "names": [
  8.         {
  9.             "C": "CN",
  10.             "L": "Beijing",
  11.             "O": "PingCAP",
  12.             "ST": "Beijing"
  13.         }
  14.     ]
  15. }

生成 CA 证书

  1. cfssl gencert -initca ca-csr.json | cfssljson -bare ca -

将会生成以下几个文件：

  1. ca-key.pem
  2. ca.csr
  3. ca.pem

生成服务器端证书

hostname 中为各组件的 IP 地址，以及 127.0.0.1

  1. echo '{"CN":"tidb-server","hosts":[""],"key":{"algo":"rsa","size":2048}}' | cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=server -hostname="172.16.10.1,172.16.10.2,127.0.0.1" - | cfssljson -bare tidb-server
  3. echo '{"CN":"tikv-server","hosts":[""],"key":{"algo":"rsa","size":2048}}' | cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=server -hostname="172.16.10.4,172.16.10.5,172.16.10.6,127.0.0.1" - | cfssljson -bare tikv-server
  5. echo '{"CN":"pd-server","hosts":[""],"key":{"algo":"rsa","size":2048}}' | cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=server -hostname="172.16.10.1,172.16.10.2,172.16.10.3,127.0.0.1" - | cfssljson -bare pd-server

将会生成以下几个文件：

  1. tidb-server-key.pem     tikv-server-key.pem      pd-server-key.pem
  2. tidb-server.csr         tikv-server.csr          pd-server.csr
  3. tidb-server.pem         tikv-server.pem          pd-server.pem

生成客户端证书

  1. echo '{"CN":"client","hosts":[""],"key":{"algo":"rsa","size":2048}}' | cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=client -hostname="" - | cfssljson -bare client

将会生成以下几个文件：

  1. client-key.pem
  2. client.csr
  3. client.pem