Container Service for Kubernetes:暗号化通信のための HTTPS 証明書の設定

ACK コンソール

1. 証明書を「証明書管理サービスコンソール」にアップロードします。詳細については、「SSL 証明書のアップロードと共有」をご参照ください。

2. ACK コンソールにログインし、クラスターに移動します。左側メニューで、[ネットワーク] > [Ingresses] を選択します。

3. https-ingress を見つけ、[操作] 列の [更新] をクリックします。

4. [Ingress の変更] パネルで、以下のパラメーターを設定します。

   パラメーター	説明	例
   [TLS 設定] > [ドメイン名]	証明書にバインドされているドメイン名。rules.host と一致している必要があります。	demo.alb.ingress.top
   [TLS 設定] > [Secret]	証明書の自動検出を使用するには、空白のままにします。	(空白)
   [アノテーション] (オプション)	HTTP と HTTPS の両方でリッスンする必要がある場合は、alb.ingress.kubernetes.io/listen-ports を追加します。	名前：alb.ingress.kubernetes.io/listen-ports、値：[{"HTTP": 80},{"HTTPS": 443}]

   

kubectl

1. 証明書を証明書管理サービスコンソールにアップロードします。詳細については、「SSL 証明書のアップロードと共有」をご参照ください。

2. Ingress を編集します。

   kubectl edit ingress https-ingress

3. tls フィールドを追加します。hosts を証明書にバインドされたドメイン名に設定します。この値は rules[].host と一致している必要があります。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
   #  annotations:
   #    alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]'  # HTTP と HTTPS の両方でリッスンする場合は、コメントを解除します。
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # ご自身のドメイン名に置き換えてください。
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
     tls:
     - hosts:
       - demo.alb.ingress.top # rules[].host と一致する必要があります。コントローラーはこのドメインを使用して証明書を検索します。

ACK コンソール

1. ACK コンソールにログインし、クラスターに移動します。左側メニューで、[ネットワーク] > [Ingresses] を選択します。

2. https-ingress を見つけ、[操作] 列の [更新] をクリックします。

3. [Ingress の変更] パネルで、以下のパラメーターを設定します。

   パラメーター	説明	例
   [TLS 設定] > [ドメイン名]	証明書にバインドされているドメイン名。	demo.alb.ingress.top
   [TLS 設定] > [Secret]	証明書を格納する Secret。作成するには、フィールドの横にある [作成] をクリックします。[Secret の作成] ダイアログボックスで、[名前]、[証明書] (Base64 エンコード不要)、[キー] (Base64 エンコード不要) を設定し、[OK] をクリックします。	Secret 名：https-secret
   [アノテーション] (オプション)	HTTP と HTTPS の両方でリッスンするには、alb.ingress.kubernetes.io/listen-ports を追加します。	名前：alb.ingress.kubernetes.io/listen-ports、値：[{"HTTP": 80},{"HTTPS": 443}]

   

kubectl

1. Secret を作成します。https-secret.yaml という名前のファイルを作成します。プレースホルダーを、Base64 でエンコードされた証明書とキーのコンテンツに置き換えます。エンコード方法については、「手順 2」をご参照ください。

   apiVersion: v1
   kind: Secret
   metadata:
     name: https-secret
   type: kubernetes.io/tls
   data:
     tls.key: |  # albtop-key.pem の Base64 でエンコードされたコンテンツ。
       {base64 albtop-key.pem}
     tls.crt: |  # albtop-cert.pem の Base64 でエンコードされたコンテンツ。
       {base64 albtop-cert.pem}

   Secret を適用します。

   kubectl apply -f https-secret.yaml

2. Ingress を編集します。

   kubectl edit ingress https-ingress

   tls フィールドに hosts と secretName の両方を追加します。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
   #  annotations:
   #    alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]'  # HTTP と HTTPS の両方でリッスンする場合は、コメントを解除します。
     name: https-ingress
     namespace: default
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # ご自身のドメイン名に置き換えてください。
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
     tls:
     - hosts:
       - demo.alb.ingress.top   # rules[].host と一致する必要があります。コントローラーはこのドメインを使用して証明書を検索します。
       secretName: https-secret # 証明書を格納する Secret。

ACK コンソール

1. 証明書 ID を取得します。まだアップロードしていない場合は、証明書を証明書管理サービスにアップロードします。詳細については、「SSL 証明書のアップロードと共有」をご参照ください。証明書 ID を見つけるには、以下の手順を実行します。

   1. 証明書管理サービスコンソールにログインします。

   2. 左側メニューで、[証明書管理] > [SSL 証明書管理] を選択します。

   3. [アップロード済み証明書の管理] タブで、証明書を見つけ、[操作] 列の [詳細] をクリックします。

   4. [証明書の詳細] パネルで、[CertIdentifier] の値をコピーします。

2. 証明書を AlbConfig に追加します。

   1. ACK コンソールにログインし、クラスターに移動します。[ワークロード] > [カスタムリソース] を選択します。

   2. AlbConfig を検索し、alb という名前のリソースを見つけ、[操作] 列の [YAML の編集] をクリックします。

   3. [YAML で表示] パネルで、HTTPS リスナーに以下のフィールドを追加します。

      フィールド	説明	例
      certificates	証明書設定ブロック	—
      CertificateId	証明書管理サービスの CertIdentifier の値	756****-cn-hangzhou
      IsDefault	リスナーのデフォルト証明書として設定するかどうかを指定します。	true

      

3. HTTPS リスナーにトラフィックをルーティングするように Ingress を更新します。

   1. 左側メニューで、[ネットワーク] > [Ingresses] を選択します。

   2. https-ingress を見つけ、[操作] 列の [更新] をクリックします。

   3. alb.ingress.kubernetes.io/listen-ports アノテーションを追加します。

      パラメーター	値
      [名前]	alb.ingress.kubernetes.io/listen-ports
      値	[{"HTTPS": 443}] — HTTP でもリッスンする場合は [{"HTTP": 80},{"HTTPS": 443}] に変更します

      

kubectl

AlbConfig で証明書を指定すると、そのリスナーの証明書の自動検出が無効になります。

1. 証明書を証明書管理サービスにアップロードします。詳細については、「SSL 証明書のアップロードと共有」をご参照ください。

2. 証明書 ID を取得します。

   1. 証明書管理サービスコンソールにログインします。

   2. 左側メニューで、[証明書管理] > [SSL 証明書管理] を選択します。

   3. [アップロード済み証明書の管理] タブで、証明書を見つけ、[操作] 列の [詳細] をクリックします。

   4. [証明書の詳細] パネルで、[CertIdentifier] の値をコピーします。

3. AlbConfig を編集します。

   kubectl edit albconfig <ALBCONFIG_NAME>

   HTTPS リスナーに certificates フィールドを追加します。

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb
   spec:
     config:
       addressType: Intranet
       name: xiaosha-alb-test
     listeners:
       - port: 80
         protocol: HTTP
       - certificates:
           - CertificateId: 756****-cn-hangzhou   # 証明書管理サービスからの CertIdentifier。
             IsDefault: true                       # デフォルトの証明書として使用するには true に設定します。
         port: 443
         protocol: HTTPS

4. Ingress を編集します。

   kubectl edit ingress https-ingress

   alb.ingress.kubernetes.io/listen-ports アノテーションを追加します。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     annotations:
       alb.ingress.kubernetes.io/listen-ports: '[{"HTTPS": 443}]'  # HTTP でもリッスンする場合は '[{"HTTP": 80},{"HTTPS": 443}]' に変更します。
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # ご自身のドメイン名に置き換えてください。
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix