etcd'de peer ve client sertifikalarını ayrı tutmak neden önemli

etcd, Kubernetes ve platform dağıtımlarında durumu tutan kritik bir veri deposudur. Cluster üyelerinin birbirleriyle iletişimi (peer connections) ve istemcilerin etcd'ye erişimi (client connections) aynı TLS altyapısını kullanıyor olsa da, bunlar aslında çok farklı güvenlik rolleridir.

Peer bağlantıları cluster üyeleri arasında veri çoğaltır; client bağlantıları ise dışarıdan okuma-yazma işlemleri yapar. Bir peer'ı doğrulayan sertifika, sıradan bir client'ı doğrulayan sertifika ile aynı değildir. İkisini tek bir TLS popülasyonu olarak görmek, cluster sınırlarını zayıflatır.

etcd, client-to-server ve peer-to-server iletişimi için ayrı TLS ayarlarını destekler. Client tarafı bir güvenli CA ve sertifika doğrulaması kullanırken, peer ayarlarının kendi CA, sertifika ve anahtar alanları vardır. Aynı CA kullanılabilir, ancak roller sertifika profilleri, subject alternative names (SAN) ve yayınlama politikası aracılığıyla ayırt edilebilir olmalıdır.

Peer sertifikası genellikle üyenin erişilebilir adları ve IP adreslerini SAN'da içermesi gerekir; client sertifikası ise farklı bir profil takip eder. Bu ayrım, cluster'ı ölçeklendirirken ve yeni üyeler eklerken güvenliği önemli ölçüde artırır. Sertifika karışıklığı, yetkisiz erişim veya içeriden tehdit riskini ciddi şekilde arttırabilir.

Cluster'ınızı ölçeklendirmeden önce sertifika politikanızı gözden geçirin ve peer ile client sertifikalarının net bir şekilde ayrıldığından emin olun. Detaylı rehberi Andrea Gomez'in yazısında bulabilirsiniz.