Container Compute Service：Konfigurasikan Sertifikat untuk Komunikasi Terenkripsi melalui HTTPS

Kompatibilitas sertifikat yang dikonfigurasi menggunakan metode berbeda

Tabel berikut menjelaskan kompatibilitas metode konfigurasi sertifikat yang berbeda.

Prosedur

Langkah 1: Buat pendengar HTTPS dalam AlbConfig

1. Jalankan perintah berikut untuk mengedit file konfigurasi albconfig:

   kubectl edit albconfig <Albconfig_Name>

2. Modifikasi konfigurasi berdasarkan kebutuhan bisnis Anda. Anda dapat mengonfigurasi parameter port dan protocol dalam Albconfig untuk membuat pendengar yang sesuai.

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb
   spec:
     config:
       addressAllocatedMode: Fixed
       addressType: Internet
       zoneMappings:
       - vSwitchId: vsw-bp19sXXXXXXX176iv
       - vSwitchId: vsw-bp1boXXXXXXXu74xz
     listeners:
     - port: 80
       protocol: HTTP
     - port: 443           # Konten baru  
       protocol: HTTPS     # Konten baru

(Opsional) Langkah 2: Hasilkan sertifikat tanda tangan sendiri

Jalankan perintah OpenSSL berikut untuk menghasilkan sertifikat tanda tangan sendiri:

openssl genrsa -out albtop-key.pem 4096
openssl req -subj "/CN=demo.alb.ingress.top" -sha256  -new -key albtop-key.pem -out albtop.csr
echo subjectAltName = DNS:demo.alb.ingress.top > extfile.cnf
openssl x509 -req -days 3650 -sha256 -in albtop.csr -signkey albtop-key.pem -out albtop-cert.pem -extfile extfile.cnf

Hasil yang Diharapkan:

Permintaan sertifikat berhasil ditandatangani sendiri
subject=CN=demo.alb.ingress.top

Langkah 3: Buat sumber daya sampel

Selain AlbConfig yang Anda buat, Anda perlu membuat Deployment, Service, IngressClass, dan Ingress agar ALB Ingress berfungsi dengan normal. Anda dapat menggunakan template YAML berikut untuk membuat sumber daya tersebut.

1. Buat file bernama https-quickstart.yaml dan salin konten berikut ke file tersebut:

   Tampilkan Konten File YAML

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: https-ingressclass
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb # Atur nilai ini ke nama AlbConfig yang Anda buat.
   ---
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # Ganti demo.alb.ingress.top dengan nama domain yang ingin Anda gunakan.
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: https-deploy
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: https-deploy
     template:
       metadata:
         labels:
           app: https-deploy
       spec:
         containers:
           - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/old-nginx:latest
             imagePullPolicy: IfNotPresent
             name: https-deploy
             ports:
               - containerPort: 80
                 protocol: TCP
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: https-svc
   spec:
     ports:
       - name: port1
         port: 443
         protocol: TCP
         targetPort: 80
     selector:
       app: https-deploy
     sessionAffinity: None
     type: ClusterIP

2. (Opsional) Jika pendengar HTTP dan HTTPS dikonfigurasi dalam AlbConfig, tambahkan bidang annotations ke konfigurasi Ingress. Contoh:

   Tambahkan Anotasi jika Beberapa Pendengar Digunakan

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
     annotations:
       alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]' # Tambahkan anotasi ini jika ALB Ingress terkait dengan beberapa pendengar.
   spec:
     #...

3. Jalankan perintah berikut untuk membuat sumber daya tersebut:

   kubectl apply -f https-quickstart.yaml

Langkah 4: Konfigurasikan sertifikat

Langkah 5: Verifikasi hasil

Akses aplikasi melalui HTTPS untuk memeriksa apakah sertifikat telah dikonfigurasi.

1. Jalankan perintah berikut untuk menanyakan Ingress:

   kubectl get ingress

   Hasil yang Diharapkan:

   NAME            CLASS                HOSTS                  ADDRESS                         PORTS     AGE
   https-ingress   https-ingressclass   demo.alb.ingress.top   alb-********.alb.aliyuncs.com   80, 443   83m

   Catat nilai-nilai di kolom HOSTS dan ADDRESS.

2. Jalankan perintah berikut untuk mengakses Service backend dari ALB Ingress: Ganti demo.alb.ingress.top dan alb-********.alb.aliyuncs.com dengan nilai-nilai yang Anda peroleh di langkah sebelumnya.

   curl -H HOST:demo.alb.ingress.top -k https://alb-********.alb.aliyuncs.com

   Jika keluaran berikut dikembalikan, sertifikat telah dikonfigurasi:

   old

Referensi

• Jika Anda ingin menerima permintaan dari klien yang menggunakan protokol HTTP/3, lihat Gunakan Pendengar QUIC untuk Mendukung HTTP/3 dan Meningkatkan Kinerja Jaringan.

• Jika Anda ingin menggunakan pendengar untuk mengaktifkan autentikasi mutual HTTPS, lihat Gunakan Autentikasi Mutual HTTPS untuk Meningkatkan Keamanan Layanan.