Azure AKS中OpenShift集群自定义CA证书导致Defender容器组件报错问题分析

Azure AKS中OpenShift集群自定义CA证书导致Defender容器组件报错问题分析

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS

问题背景

在Azure Kubernetes Service(AKS)环境中，当用户为Red Hat OpenShift集群配置自定义CA证书后，发现属于"Microsoft Defender for Container"组件的所有Pod出现证书验证失败问题。具体表现为mdc命名空间下的microsoft-defender-publisher-ds-* Pods报错"x509: certificate signed by unknown authority"，导致无法正常连接到oms.opinsights.azure.com端点。

问题现象

部署自定义CA证书后，安全组件出现以下典型症状：

1. Defender容器组件的DaemonSet Pods启动失败
2. 日志中明确显示TLS握手失败，提示未知证书颁发机构
3. 组件无法与Azure Monitor后端服务建立安全连接
4. 安全监控功能中断

根本原因分析

该问题源于OpenShift集群的证书信任链配置不完整。当企业部署自定义PKI基础设施时，需要确保：

1. 所有系统组件都能访问到正确的CA证书存储
2. 容器运行时环境信任新添加的CA证书
3. 安全组件能够正确加载更新后的信任链

特别是像Microsoft Defender这样的安全组件，由于其严格的安全策略，对证书验证的要求更为严格。

解决方案

正确的证书注入方法

对于OpenShift 4.6及以上版本，推荐通过Operator方式管理集群范围的CA证书信任链：

1. 创建包含自定义CA证书的ConfigMap
2. 通过Cluster Network Operator配置全局信任存储
3. 确保配置自动传播到所有节点和系统Pod

Defender组件特殊处理

由于安全组件的特殊性，需要额外步骤：

1. 在mdc命名空间创建专用证书ConfigMap
2. 修改Defender Publisher DaemonSet配置：
   • 添加证书Volume挂载
   • 配置证书自动更新机制
3. 验证证书加载顺序和优先级

详细配置步骤

证书ConfigMap创建

apiVersion: v1
kind: ConfigMap
metadata:
  name: defender-custom-ca
  namespace: mdc
data:
  ca.crt: |
    -----BEGIN CERTIFICATE-----
    [您的自定义CA证书内容]
    -----END CERTIFICATE-----

DaemonSet配置调整

需要修改以下关键部分：

1. Volume定义：

volumes:
- name: custom-ca-volume
  configMap:
    name: defender-custom-ca

2. Volume挂载：

volumeMounts:
- name: custom-ca-volume
  mountPath: /etc/pki/ca-trust/source/anchors/
  readOnly: true

3. 证书更新钩子：

lifecycle:
  postStart:
    exec:
      command: ["/bin/sh", "-c", "update-ca-trust && killall -HUP defender-process"]

验证与测试

实施变更后需要进行全面验证：

1. 检查Pod日志确认证书错误是否消失
2. 验证与Azure后端的TLS连接状态
3. 确认安全事件是否正常上报
4. 测试证书自动更新机制

最佳实践建议

1. 在非生产环境充分测试证书变更
2. 建立证书更新回滚方案
3. 监控安全组件健康状态
4. 定期验证证书有效期和信任链

总结

在混合云安全架构中，正确处理自定义PKI与云安全服务的集成至关重要。通过系统化的证书管理和针对安全组件的特殊处理，可以确保Microsoft Defender for Containers在自定义CA环境中的稳定运行，同时满足企业的安全合规要求。

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS