Bitnami EJBCA Helm Chart

概述和主要用途

EJBCA是基于Java (JEE)技术构建的企业级PKI证书颁发机构(CA)软件。本Bitnami Helm chart用于通过Helm包管理器在Kubernetes集群上引导EJBCA部署，同时包含Bitnami MariaDB作为应用所需的数据库，支持企业级证书生命周期管理、颁发与吊销等功能。

核心功能和特性

• 企业级PKI CA：提供完整的证书颁发机构功能，支持X.509证书管理、CRL发布、证书吊销等PKI核心能力。
• Kubernetes原生部署：通过Helm chart简化在Kubernetes集群的部署流程，支持自动配置和扩展。
• 数据库集成：默认集成MariaDB数据库，也支持连接外部数据库服务（如托管数据库）。
• 可扩展性：支持多副本部署，通过调整replicaCount参数实现高可用性。
• 安全配置：提供Pod安全上下文、资源限制、持久化存储等安全特性，符合生产环境要求。
• 灵活定制：支持边车容器、初始化容器、自定义亲和性规则、外部数据库配置等高级定制。

使用场景和适用范围

• 企业内部PKI基础设施搭建，用于员工、设备或服务的身份认证。
• 安全通信场景（如TLS/SSL）的证书颁发与生命周期管理。
• 开发、测试和生产环境的证书服务部署，满足不同环境的安全需求。
• 需要高可用性和可扩展架构的证书管理平台。

详细使用方法和配置说明

TL;DR

helm install my-release oci://registry-1.docker.io/bitnamicharts/ejbca

如需在生产环境使用EJBCA，可尝试VMware Tanzu Application Catalog（Bitnami目录的商业版）。

⚠️ 重要通知：Bitnami目录即将变更

自2025年8月28日起，Bitnami将升级公共目录，在Bitnami Secure Images计划下提供精选的强化安全镜像。主要变更包括：

• 向社区用户开放安全优化版本镜像访问权限。
• 弃用免费层中非强化的基于Debian的镜像，逐步移除非最新标签；社区用户仅可访问“latest”标签的强化镜像（适用于开发）。
• 两周内，所有现有镜像（含旧版本标签，如2.50.0）将迁移至“Bitnami Legacy”仓库（docker.io/bitnamilegacy），且不再更新。
• 生产环境建议采用Bitnami Secure Images，包含强化容器、CVE透明度、SBOM和企业支持。

更多详情见Bitnami Secure Images公告。

前提条件

• Kubernetes 1.23+
• Helm 3.8.0+
• 底层基础设施支持PV供应器

安装Chart

使用发布名称my-release安装：

helm install my-release oci://REGISTRY_NAME/REPOSITORY_NAME/ejbca

注意：需替换REGISTRY_NAME和REPOSITORY_NAME。Bitnami官方仓库示例：REGISTRY_NAME=registry-1.docker.io，REPOSITORY_NAME=bitnamicharts。

配置和安装细节

资源请求和限制

通过resources参数设置容器资源请求和限制，生产环境需根据实际负载调整。也可使用resourcesPreset预设（不建议生产环境使用），详情见bitnami/common chart。

滚动标签与不可变标签

生产环境强烈建议使用不可变标签，避免镜像更新导致部署自动变更。Bitnami会通过发布新chart更新容器版本。

更新凭证

首次启动后凭证需手动更新：

1. 按上游文档更新密码。
2. 更新密钥（替换SECRET_NAME和PASSWORD）：

   kubectl create secret generic SECRET_NAME --from-literal=ejbca-admin-password=PASSWORD --dry-run -o yaml | kubectl apply -f -
   

多副本配置

1. 先部署单副本实例，确保应用正常运行。
2. 升级时指定副本数及原凭证：

   helm upgrade my-release oci://... --set replicaCount=2,ejbcaAdminPassword=旧密码,mariadb.auth.password=旧数据库密码
   

外部数据库配置

禁用内置MariaDB，连接外部数据库：

mariadb.enabled: false
externalDatabase:
  host: 外部数据库主机
  user: 数据库用户
  password: 数据库密码
  database: 数据库名
  port: 3306

持久化存储

EJBCA数据存储于容器/bitnami路径，通过PVC持久化。可通过persistence参数配置存储类、大小等，或设置persistence.enabled=false禁用持久化。

参数说明

全局参数

EJBCA核心参数

完整参数列表见官方文档。