每个群集的证书还是每个服务提供商的证书？

Question

我们有一个服务提供商来接受请求并创建弹性搜索集群。

颁发ssl证书的最佳做法是什么？ 1.我们应该为每个群集颁发证书吗？ 2.或一个用于我的服务提供商的集群应该足够用于访问集群？

我认为在创建群集时颁发新证书会更好。

请提供输入信息。

此外，在集群内部，我真的需要启用ssl以便Pod与彼此对话并通过证书吗？

Answer 1

是的，您绝对应该使用TLS加密往返于在共享和托管K8S版本（GKE）上运行的Elasticsearch集群的网络流量。

另外，我会选择通过以下方式最大程度地分隔客户空间：

• Kubernetes命名空间
• 命名的服务帐户/角色绑定
  
  ，甚至具有customer supplied encryption键的基于PD-SSD的卷

我不确定您是否知道'Elastic Cloud on Kubernetes'（ECK）的存在-它使用Kubernetes Operator模式在GCP中的您自己的K8S集群上运行和运行Elasticsearch集群。像对待以最安全的方式运行Elasticsearch集群的最佳实践的集合一样对待它，here是快速入门教程。