AWS私有服务第三方公网SSL/TLS证书部署位置咨询

1. 服务部署在私有子网EC2实例时的证书放置 #

• 系统级信任（推荐）：把第三方证书放到对应操作系统的根证书信任目录：
  • RHEL/CentOS系列：/etc/pki/ca-trust/source/anchors/，放置后执行update-ca-trust extract更新信任库
  • Debian/Ubuntu系列：/usr/local/share/ca-certificates/，放置后执行update-ca-certificates生效
    这样系统上所有应用（比如curl、Java程序）都会自动信任这个证书，无需单独配置。
• 应用单独配置：如果只需要特定应用使用，可将证书放在应用指定的目录，比如Java应用可以通过-Djavax.net.ssl.trustStore参数指定自定义证书库路径，或者把证书导入到Java默认的cacerts证书库中。

2. 服务部署在私有Kubernetes/EKS集群时的证书放置 #

• 集群节点级信任：和EC2的方式一致，通过节点启动脚本或者DaemonSet批量把证书部署到所有EKS节点的系统根证书目录，这样所有Pod里的应用默认都会信任该证书。
• Pod应用级信任：
  • 用Kubernetes Secret存储证书：先把证书文件创建为Secret（比如kubectl create secret generic third-party-cert --from-file=ca.crt=/path/to/your/cert），然后在Pod的Deployment配置里通过volumeMounts将Secret挂载到Pod内部的指定路径（比如/etc/ssl/certs/third-party.crt），再在应用配置里指定使用这个证书文件。
  • 针对Java应用：可以把证书打包进镜像，或者挂载后通过命令导入到Pod内的Java cacerts库；Go、Python等应用通常通过环境变量或配置文件指向挂载的证书路径即可。
  • 服务网格场景：如果用Istio这类服务网格，可将第三方证书添加到网格的全局信任池中，所有经过网格的流量都会自动信任该证书，不需要每个应用单独配置。

内容的提问来源于stack exchange，提问作者karthiks