Container Service for Kubernetes:HTTPS リスナーの SSL 証明書の管理

SSL 証明書管理シナリオ

注意事項

現在のリスナーの証明書リストにない新しい証明書でデフォルト証明書を置き換える場合は、まず新しい証明書が Alibaba Cloud デジタル証明書管理サービスで利用可能かどうかを確認します。証明書が存在しない場合は、デジタル証明書管理サービスコンソールで新しい SSL 証明書を購入またはアップロードできます。詳細については、「商用証明書の購入」および「SSL 証明書のアップロード、同期、共有」をご参照ください。

シナリオ

• 現在のデフォルト証明書の有効期限が切れています。有効期限が切れたデフォルト証明書を新しいものに置き換える必要があります。

• 現在のデフォルト証明書は有効期限が切れていませんが、使用を停止することにしました。有効期限が切れていないデフォルト証明書を新しいものに置き換えることができます。

• ALB コンソールで拡張証明書を削除した後、その証明書を新しいデフォルト証明書として設定します。

手順

1. Application Load Balancer (ALB) コンソールにログインします。トップメニューバーで、インスタンスがデプロイされているリージョンを選択します。

2. [インスタンス] ページで、ターゲットインスタンスを見つけてインスタンス ID をクリックします。インスタンス詳細タブで、[設定変更保護の無効化] をクリックします。

   重要

   設定変更保護を無効にした後、Application Load Balancer (ALB) コンソールでリスナー構成を変更した場合、次回の調整後にデフォルト証明書の構成のみが ACK クラスターに書き戻されます。他の構成変更はクラスターに書き戻されません。これは、次回の調整中に、これらの構成がクラスターからの構成によって上書きされる可能性があることを意味します。したがって、他の操作は注意して実行してください。次回の調整後、クラスターで kubectl describe albconfig [$Albconfig_Name] コマンドを実行し、status フィールドの内容を確認して、デフォルト証明書の構成が正常に書き戻されたことを確認できます。

3. [リスナー] タブをクリックします。ターゲットリスナーの ID をクリックしてリスナー詳細ページに移動し、[リスナー証明書] タブをクリックします。

4. [サーバー証明書] タブで、リスナーのデフォルトサーバー証明書を見つけます。[操作] 列で、[置換] をクリックします。

5. 表示されるダイアログボックスで、新しい証明書を選択し、[OK] をクリックします。

   この操作を実行すると、リスナーのデフォルト証明書が新しい証明書に更新されます。

   • 元のデフォルト証明書がまだ必要な場合は、[サーバー証明書] ページで [拡張証明書の追加] をクリックして、リスナー構成に拡張証明書として追加し直します。

   • 元のデフォルト証明書が不要になり、他のインスタンスやリスナーから参照されていないことが確実な場合は、[サーバー証明書] ページのターゲット証明書の [操作] 列にある [削除] をクリックして削除できます。証明書を削除しない場合、有効期限が切れていない元のデフォルト証明書は、次回の構成調整中に自動的に拡張証明書としてリスナーに関連付けられます。

6. 設定変更保護を有効にします。

注意事項

拡張証明書を削除する前に、リスナーの証明書リストを確認してください。デフォルト証明書と拡張証明書の現在の構成が要件を満たしている場合は、拡張証明書を削除したり、デフォルト証明書を置き換えたりする必要はありません。

操作を実行する前に、削除する拡張証明書と同じドメイン名の一時的な証明書をアップロードすることをお勧めします。拡張証明書を削除する前に、[サーバー証明書] タブで [拡張証明書の追加] をクリックします。表示されるダイアログボックスで、アップロードした一時的な証明書を選択します。一時的な証明書のステータスが [関連付け済み] であることを確認した後、拡張証明書を削除します。デフォルト証明書を置き換えた後、一時的な証明書を削除します。

シナリオ

• 現在のデフォルト証明書の有効期限が切れている場合は、まず拡張証明書を削除できます。次に、ALB コンソールでデフォルト証明書を置き換えるの手順に従って、この証明書をデフォルト証明書として設定します。

• 現在のデフォルト証明書は有効期限が切れていませんが、使用を停止することにした場合は、拡張証明書を削除できます。次に、ALB コンソールでデフォルト証明書を置き換えるの手順に従って、この証明書をデフォルト証明書として設定します。必要に応じて、元のデフォルト証明書を拡張証明書として追加し直すかどうかを決定できます。

• 調整中に ALB Ingress Controller によって自動的に選択されたデフォルト証明書が目的のものでない場合は、拡張証明書を削除できます。次に、ALB コンソールでデフォルト証明書を置き換えるの手順に従って、この証明書をデフォルト証明書として設定します。その後、元のデフォルト証明書を拡張証明書として追加し直します。

手順

1. Application Load Balancer (ALB) コンソールにログインします。トップメニューバーで、インスタンスがデプロイされているリージョンを選択します。

2. [インスタンス] ページで、ターゲットインスタンスを見つけ、[インスタンス ID] をクリックします。[インスタンス詳細] タブで、[設定変更保護の無効化] をクリックします。

   重要

   設定変更保護を無効にした後、ALB コンソールでデフォルト証明書を置き換えるの手順に従ってデフォルト証明書を更新する場合、Application Load Balancer (ALB) コンソールでリスナー構成を変更しても、次回の調整後に証明書構成のみが ACK クラスターに書き戻されます。他の構成変更はクラスターに書き戻されません。これは、次回の調整中に、これらの書き戻されていない構成がクラスターからの構成によって上書きされる可能性があることを意味します。したがって、他の操作は注意して実行してください。次回の調整後、クラスターで kubectl describe albconfig [$Albconfig_Name] コマンドを実行し、status フィールドの内容を確認して、証明書構成が正常に書き戻されたことを確認できます。

3. [リスナー] タブをクリックします。ターゲットリスナーの ID をクリックしてリスナー詳細ページに移動し、[リスナー証明書] タブをクリックします。

4. [サーバー証明書] タブで、削除する拡張証明書を見つけます。[操作] 列で [削除] をクリックし、プロンプトに従って操作を完了します。

5. 設定変更保護を有効にします。

手動で調整をトリガーする

Ingress に関連付けられているシークレットリソースを更新する

kubectl edit コマンドを使用して証明書 ID を更新する

注意事項

• IsDefault フィールド: デフォルト証明書は作成時にのみ指定できます。システムは、後で必要がない限り自動的に変更しません。デフォルト証明書を手動で置き換えるには、defaultCertificate フィールドを使用します。

  listeners:
    - port: 443
      protocol: HTTPS
      certificates:
        - CertificateId: abcdefg-hangzhou
          IsDefault: true

• defaultCertificate の優先度: defaultCertificate フィールドは certificates.IsDefault よりも優先度が高くなります。これは、defaultCertificate を構成すると、certificates.IsDefault が自動的に無効になることを意味します。

  ... ...
  listeners:
    - port: 443
      protocol: HTTPS
      defaultCertificate:
        kind: CertIdentifier
        certificateId: 75****-hangzhou
      certificates:
        - CertificateId: 75****-hangzhou
          IsDefault: true

• 証明書のマッチング優先度: 同じリスナーポートに拡張証明書とデフォルト証明書の両方が構成されている場合、最初に拡張証明書がマッチングされます。一致するものがない場合は、フォールバックとしてデフォルト証明書が使用されます。

• ALB Ingress Controller は v2.18.0-aliyun.1 以降のバージョンにアップグレードする必要があります。詳細については、「ALB Ingress Controller コンポーネントのアップグレード」をご参照ください。

手順

ALB Ingress Controller v2.18.0-aliyun.1 以降、AlbConfig の defaultCertificate フィールドを使用してデフォルト証明書を指定できます。詳細については、「ALB Ingress Controller のリリースノート」をご参照ください。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    addressType: Intranet
    name: alb-test
  listeners:
    - port: 80
      protocol: HTTP
    - port: 443
      protocol: HTTPS     
      defaultCertificate: 
        kind: CertIdentifier
        certificateId: 123****-cn-hangzhou    ## ターゲット証明書 ID を指定します。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    addressType: Intranet
    name: xiaosha-alb-test
  listeners:
  - port: 80
    protocol: HTTP
  - port: 443
    protocol: HTTPS                 
    defaultCertificate:
      kind: Secret
      secretName: test-secret       ## ターゲットの secretName を指定します。
      secretNamespace: test         ## ターゲットの secretNamespace を指定します。

調整中に「Specified parameter array contains too many items, up to 15 items, Certificates is not valid」というエラーメッセージが表示されるのはなぜですか？

v2.11.0-aliyun.1 以降、ALB Ingress Controller コンポーネントは証明書のページングをサポートしています。調整中に「Specified parameter array contains too many items, up to 15 items, Certificates is not valid」というエラーメッセージが表示された場合、使用している ALB Ingress Controller コンポーネントのバージョンが証明書のページングをサポートしておらず、1 回の調整で 15 を超える証明書を関連付けようとしていることを示します。この問題を解決するには、ALB Ingress Controller コンポーネントを最新バージョンにアップグレードすることをお勧めします。コンポーネントのバージョンの詳細については、「ALB Ingress Controller」をご参照ください。コンポーネントのアップグレード方法の詳細については、「ALB Ingress Controller コンポーネントの管理」をご参照ください。