Alibaba Cloud Service Mesh:ASM ゲートウェイ経由での Knative サービスへの HTTPS アクセス

仕組み

クライアントが Knative サービスに HTTPS リクエストを送信すると、次のようになります。

1. リクエストは istio-system 名前空間にある ASM イングレスゲートウェイ Pod に到達します。

2. ゲートウェイは、Kubernetes Secret に保存されている証明書と秘密鍵を使用して TLS を終了させます。

3. ゲートウェイは、復号されたリクエストをメッシュ内のターゲット Knative サービスに転送します。

この設定により、外部クライアントとゲートウェイ間のトラフィックが暗号化されます。メッシュ内部のコンポーネント間のトラフィックは暗号化されません。メッシュ内部のサービス間トラフィックを暗号化するには、ASM の mTLS (相互 TLS) を設定してください。

前提条件

開始する前に、以下が準備できていることを確認してください。

• Knative on ASM を通じてデプロイされた Knative サービス。詳細については、「Knative on ASM を使用してサーバーレスアプリケーションをデプロイする」をご参照ください。

• Knative on ASM で設定されたカスタムドメイン名 (このガイドでは例として aliyun.com を使用します)。詳細については、「Knative on ASM でカスタムドメイン名を設定する」をご参照ください。

• ドメイン名 aliyun.com の ICP (Internet Content Provider) 登録

• ローカルマシンにインストールされた OpenSSL (自己署名証明書の場合にのみ必要)

• ASM コントロールプレーンと、イングレスゲートウェイ Pod をホストするクラスターの両方にアクセスできるように設定された kubectl

ステップ 1： TLS 証明書と秘密鍵の作成

aliyun.com の有効な証明書と秘密鍵をすでにお持ちの場合は、それらの名前を aliyun.com.crt と aliyun.com.key に変更し、「証明書を Kubernetes Secret として保存する」に進んでください。

OpenSSL を使用して自己署名証明書を生成するには：

1. ルート認証局 (CA) を作成します。

      openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
        -subj '/O=myexample Inc./CN=aliyun.com' \
        -keyout aliyun.root.key -out aliyun.root.crt

2. ルート CA によって署名されたサーバー証明書と秘密鍵を生成します。

      openssl req -out aliyun.com.csr -newkey rsa:2048 -nodes \
        -keyout aliyun.com.key -subj "/CN=aliyun.com/O=myexample organization"
   
      openssl x509 -req -days 365 -CA aliyun.root.crt -CAkey aliyun.root.key \
        -set_serial 0 -in aliyun.com.csr -out aliyun.com.crt

kubectl create -n istio-system secret tls myexample-credential \
  --key=aliyun.com.key --cert=aliyun.com.crt

ステップ 2： ASM ゲートウェイでの HTTPS の設定

1. 次の YAML を default.yaml として保存します。以下の値を置き換えてください。

   フィールド	説明
   domainName	Knative on ASM で設定されたカスタムドメイン名
   credentialName	前のステップで作成した TLS Secret の名前

      apiVersion: istio.alibabacloud.com/v1beta1
      kind: ASMKnativeConfig
      metadata:
        name: default
      spec:
        enabled: true
        useExisting: true
        tag: 1.4.0
        domainConfig:
          domainName: aliyun.com                  # ご利用のドメイン名に置き換えてください。
          credentialName: myexample-credential     # ご利用の Secret 名に置き換えてください。

2. kubectl を ASM コントロールプレーンに接続し、設定を適用します。

      kubectl apply -f default.yaml

ステップ 3： HTTPS アクセスの検証

<gateway-ip>  helloworld-go.default.aliyun.com

curl --cacert aliyun.root.crt \
  --cert aliyun.com.crt --key aliyun.com.key \
  https://helloworld-go.default.aliyun.com

Hello Knative!

curl -k --cert aliyun.com.crt --key aliyun.com.key \
  https://helloworld-go.default.aliyun.com

トラブルシューティング

次のステップ

• トラフィック分割によるカナリアリリース： Knative on ASM は、トラフィック分割に基づくカナリアリリースをサポートしています。Knative サービスを作成すると、Knative は最初の Revision を自動的に作成します。サービス構成が変更されるたびに、Knative は新しい Revision を作成し、異なる Revision に分散されるトラフィックの割合を調整します。詳細については、「Knative on ASM を使用して Knative サービスのトラフィック分割に基づくカナリアリリースを実行する」をご参照ください。

• リクエストベースの Pod 自動スケーリング： Knative Serving は、各 Pod に Queue Proxy コンテナを追加します。Queue Proxy コンテナは、同時実行メトリックを Knative Pod Autoscaler (KPA) にレポートします。これらのメトリックに基づき、KPA は同時リクエスト数と関連する自動スケーリングアルゴリズムに従って、Deployment 用にプロビジョニングされる Pod の数を自動的に調整します。詳細については、「リクエスト数に基づく Pod の自動スケーリングを有効にする」をご参照ください。