Mikroservis mimarisinde servisler birbirini ağ üzerinden çağırır; bu trafiği yalnızca şifrelemek yetmez, karşı tarafın kim olduğunu da doğrulamak gerekir. Karşılıklı TLS (mTLS) bunu, her iki tarafın da sertifika sunmasıyla sağlar.
mTLS nasıl çalışır?
Normal TLS'te yalnızca sunucu sertifika sunar. mTLS'te sunucu ayrıca CertificateRequest gönderir; istemci kendi sertifikasını sunar ve sunucu bunu güvendiği CA'ya karşı doğrular. Böylece ağdaki herhangi bir süreç değil, yalnızca sertifika verilmiş servisler konuşabilir.
İç CA ile örnek kurulum
Servis kimlikleri için genel bir CA yerine kurum içi bir CA kullanmak yaygındır. Deneme amaçlı basit akış:
# CA oluştur
openssl genrsa -out ca.key 4096
openssl req -x509 -new -key ca.key -sha256 -days 1825 -subj "/CN=Ic-Servis-CA" -out ca.crt
# Servis anahtarı ve CSR
openssl genrsa -out siparis.key 2048
openssl req -new -key siparis.key -subj "/CN=siparis.svc" -out siparis.csr
# CA ile imzala
openssl x509 -req -in siparis.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 90 -sha256 -out siparis.crtSunucu tarafında Nginx ile istemci doğrulaması:
ssl_client_certificate /etc/ssl/ca.crt;
ssl_verify_client on;Operasyonel noktalar
- Kısa ömürlü sertifikalar: Süreyi kısa tutun ve yenilemeyi otomatikleştirin; elle yönetilen onlarca sertifika bir süre sonra kesintiye yol açar.
- Kimlik adlandırma: Servis adını SAN alanına yazın; yalnızca CN'e güvenmeyin.
- İptal: Anahtarı ele geçirilen servis için CRL/OCSP veya kısa ömür stratejisi belirleyin.
- Anahtar koruması: Özel anahtarlar gizli yönetim aracında veya dosya izinleri kısıtlı dizinde tutulmalı, imajlara gömülmemelidir.
Test
İstemci sertifikasıyla bağlanmak için curl --cert siparis.crt --key siparis.key --cacert ca.crt https://hedef.svc komutunu kullanabilirsiniz; sertifikasız istek reddedilmelidir.
Dışa açık uçlar için ise tarayıcıların güvendiği bir SSL sertifikası gerekir; iç CA yalnızca kurum içi servis kimliği için uygundur. Karşılaştığınız hataları SSL sorun giderici ile daraltabilirsiniz.