ETCD 部署并启用证书认证

最新推荐文章于 2025-03-25 11:07:38 发布

原创

最新推荐文章于 2025-03-25 11:07:38 发布 · 4.7k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#golang #etcd

这篇博客详细介绍了如何部署ETCD并启用证书认证。首先，通过特定方式生成证书，确保server证书的usages包含适当选项以避免认证问题。然后，统一配置包括数据目录和证书目录，并解释了各证书的作用。接着，描述了在三台机器上的部署规划，包括下载二进制包、解压和启动服务的步骤。最后，提到了使用god守护ETCD的配置方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

证书生成

证书生成的方式非常多，同类的文档也很容易找到，这里推荐此篇文章：https://coreos.com/os/docs/latest/generate-self-signed-certificates.html，但是由于etcd的特殊性，server端配置的证书，也会被用于去进行客户端认证，因此需要在 server 的 usages 里面加上：client auth选项，否则会出现此种问题：certificate specifies an incompatible key usage

下面是完整的ca-config.json内容：

{
   
   
    "signing": {
   
   
        "default": {
   
   
            "expiry": "43800h"
        },
        "profiles": {
   
   
            "server": {
   
   
                "expiry": "43800h",
                "usages": [
                    "signing",
                    "key encipherment",
                    "server auth",
                    "client auth" // 此处需要特别注意，由于etcd实现方式不同，server的证书也会用于进行客户端认证，此选项必须的
                ]
            },
            "client": {
   
   
                "expiry": "43800h",
                "usages": [
                    "signing",
                    "key encipherment",
                    "client auth"
                ]
            },
            "peer": {
   
   
                "expiry": "43800h",
                "usages": [
                    "signing",
                    "key encipherment",
                    "server auth",
                    "client auth"
                ]
            }
        }
    }
}

还有需要注意的点就是在生成 server证书的时候，hosts字段需要加上etcd全部节点的IP/主机名信息及127.0.0.1，peer证书可以统一，也可以分别生成，如果需要统一，则需要在hosts字段加上所有节点的IP/主机名信息，如果分开生成，则hosts字段只需要填写对应节点的IP/主机名信息即可