Container Service for Kubernetes:Deploy HTTPS mutual authentication through ALB Ingress

Fonctionnement

Le serveur utilise son certificat d'autorité de certification racine pour vérifier le certificat du client avant d'établir la connexion.

Prérequis

Assurez-vous de disposer des éléments suivants :

• Un certificat SSL ou TLS est configuré sur l'écouteur ALB.

• Un certificat d'autorité de certification racine obtenu par l'une des méthodes suivantes :

  • Achat d'une autorité de certification privée dans Certificate Management Service

  • Génération d'un certificat d'autorité de certification autosigné

(Facultatif) Étape 1 : Générer un certificat d'autorité de certification autosigné

Ignorez cette étape si vous disposez déjà d'un certificat d'autorité de certification racine.

1. Générez une clé privée :

   openssl genrsa -out ca.key 4096

2. Créez une demande de signature de certificat (CSR) :

   Champ	Obligatoire	Description
   Country Name	Oui	Code pays à deux lettres, par exemple cn
   State or Province Name	Oui	Nom de la province ou de la région
   Locality Name	Oui	Nom de la ville
   Organization Name	Oui	Nom de l'organisation
   Organizational Unit Name	Oui	Nom du département
   Common Name	Non	Un nom couramment utilisé
   Email Address	Non	Adresse e-mail de l'administrateur du certificat
   A challenge password	Non	Mot de passe de sécurité CSR facultatif. Laissez ce champ vide si nécessaire

   openssl req -new -out ca.csr -key ca.key

   OpenSSL vous invite à saisir les champs suivants :

   Country Name (2 letter code) [XX]:cn
   State or Province Name (full name) []:bj
   Locality Name (eg, city) [Default City]:bj
   Organization Name (eg, company) [Default Company Ltd]:alibaba
   Organizational Unit Name (eg, section) []:test
   Common Name (eg, your name or your servers hostname) []:root
   Email Address []:example@ali
   A challenge password []:

3. Créez le certificat d'autorité de certification racine avec une validité de 3 650 jours :

   Fichier	Description
   ca.crt	Certificat d'autorité de certification racine
   ca.csr	Fichier CSR
   ca.key	Clé privée

   openssl x509 -req -in ca.csr -out ca.crt -signkey ca.key -CAcreateserial -days 3650

   Exécutez ls pour confirmer les fichiers générés :

   ca.crt  ca.csr  ca.key

Étape 2 : Télécharger le certificat d'autorité de certification

Téléchargez le certificat d'autorité de certification racine vers Certificate Management Service afin d'obtenir un identifiant de certificat pour AlbConfig.

1. Connectez-vous à la console Certificate Management Service. Sélectionnez la région Outside Chinese Mainland. Dans le volet de navigation de gauche, cliquez sur Certificate Application Repository.

2. Sur la page Certificate Application Repository, cliquez sur Create Repository. Dans le panneau Create Repository, définissez les paramètres suivants et cliquez sur OK.

   Paramètre	Description
   Repository Name	Nom personnalisé du référentiel
   Data Source	Sélectionnez Upload CA Certificates pour télécharger des certificats signés par des autorités de certification tierces

3. Cliquez sur votre référentiel, puis sur Uploaded Certificates.

4. Dans le panneau CA Information, remplissez les champs suivants et cliquez sur Confirm and Enable.

   Paramètre	Description
   Package Name	Nom personnalisé du certificat
   CA Certificates	Collez le contenu du certificat, ou cliquez sur Upload and Parse File

5. Cliquez sur Details pour le certificat téléchargé et notez l'identifiant du certificat pour l'étape 4.

Étape 3 : Générer un certificat client

Utilisez le certificat d'autorité de certification racine pour signer un certificat client.

1. Générez une clé privée pour le client :

   openssl genrsa -out client.key 4096

2. Créez une CSR pour le certificat client :

   openssl req -new -out client.csr -key client.key

   Remplissez les mêmes champs que lors de l'étape 1. Les valeurs peuvent différer de celles du certificat d'autorité de certification.

3. Signez le certificat client à l'aide de l'autorité de certification racine :

   Fichier	Description
   client.crt	Certificat client signé par l'autorité de certification racine
   client.csr	Fichier CSR
   client.key	Clé privée du client

   openssl x509 -req -in client.csr -out client.crt -CA ca.crt -CAkey ca.key -CAcreateserial -days 3650

   Les fichiers ca.crt et ca.key proviennent de l'étape 1. Exécutez ls pour confirmer la sortie :

   client.crt  client.csr  client.key

Étape 4 : Activer et tester l'authentification mutuelle

(Facultatif) Étape 5 : Désactiver l'authentification mutuelle

1. Ouvrez AlbConfig pour modification :

   kubectl edit albconfig <ALBCONFIG_NAME>

2. Définissez caEnabled sur false :

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: #...
   spec:
     config:
       #...
     listeners:
     - port: 443
       protocol: HTTPS
       caEnabled: false                                       # Disable mutual authentication
       caCertificates:
       - CertificateId: 0e40dda998174723af39d37fcaf*****
       certificates:
         #...

Étapes suivantes

• Utiliser un écouteur QUIC pour prendre en charge HTTP/3.

• Utiliser des instances ALB activées par WAF pour protéger les applications.