Alibaba Cloud Service Mesh:ASM ゲートウェイの証明書の管理に cert-manager を使用する

前提条件

• クラスターが ASM インスタンスに追加されていること。

• イングレスゲートウェイがデプロイされていること。

クラスターに cert-manager をインストールする

1. コンピューターに Helm をインストールします。 詳細については、「Helm」をご参照ください。

2. kubectl を使用してクラスターに接続します。 詳細については、「クラスターの kubeconfig ファイルを取得し、kubectl を使用してクラスターに接続する」をご参照ください。

3. 次のコマンドを実行して、cert-manager という名前のネームスペースを作成します。

   kubectl create namespace cert-manager

4. 次のコマンドを実行して、cert-manager チャートを追加します。

   helm repo add jetstack https://charts.jetstack.io

5. 次のコマンドを実行して、cert-manager チャートに関する最新情報を入手します。

   helm repo update

6. 次のコマンドを実行して、cert-manager をインストールします。

   説明

   cert-manager のバージョンは、Kubernetes のバージョンと互換性がある必要があります。 cert-manager のバージョンと Kubernetes のバージョンのマッピングの詳細については、「Supported Releases」をご参照ください。

   helm install \
     cert-manager jetstack/cert-manager \
     --namespace cert-manager \
     --version v1.14  \
     --set installCRDs=true

cert-manager を使用して自己署名証明書を発行する

手順 1: クラスターに自己署名証明書を作成する

1. 次の内容を含む issuer.yaml ファイルを作成します。

   issuer.yaml ファイルを表示する

   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: selfsigned
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ingressgateway-certs
   spec:
     isCA: true
     duration: 2160h # 90d
     secretName: istio-ingressgateway-certs
     commonName: istio-ingressgateway-certs
     subject:
       organizations:
       - cluster.local
       - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer
       group: cert-manager.io

2. 次のコマンドを実行して、自己署名 CA を作成し、ワークロードの証明書を発行します。

   kubectl apply -f issuer.yaml -n istio-system

3. 次のコマンドを実行して、証明書を表示します。

   kubectl get secret -n istio-system 

   期待される出力:

   NAME                                        TYPE                             DATA         AGE
   istio-ingressgateway-certs                  kubernetes.io/tls                3            68m

手順 2: HTTPS 経由でサービスにアクセスできることを確認する

1. HTTPBin アプリケーションをデプロイします。 詳細については、「httpbin アプリケーションをデプロイする」をご参照ください。

2. HTTPBin アプリケーションの Istio ゲートウェイを変更します。

   ASM インスタンスの kubeconfig ファイルを使用してコマンドを実行するか、ASM コンソールにログインして [ゲートウェイ] ページで YAML ファイルを変更できます。 詳細については、「Istio ゲートウェイを管理する」をご参照ください。

   次のコードブロックは、変更された YAML ファイルを示しています。 HTTPS リスナーがポート 443 に追加され、cert-manager によって作成された証明書が使用されます。

   apiVersion: networking.istio.io/v1beta1
   kind: Gateway
   metadata:
     name: httpbin
     namespace: default
   spec:
     selector:
       istio: ingressgateway
     servers:
       - hosts:
           - '*'
         port:
           name: test
           number: 80
           protocol: HTTP
       - hosts:
           - '*'
         port:
           name: https
           number: 443
           protocol: HTTPS
         tls:
           credentialName: istio-ingressgateway-certs
           mode: SIMPLE

3. 次のコマンドを実行して、クラスター内のイングレスゲートウェイの IP アドレスを取得します。

   kubectl get svc -n istio-system -l istio=ingressgateway

4. 次のコマンドを実行して、HTTPS 経由で HTTPBin アプリケーションにアクセスします。

   curl -k --resolve istio-ingressgateway-certs:443:${IP address of the ingress gateway} https://istio-ingressgateway-certs/status/418 -I

   アクセスが成功すると、ステータスコード 418 が返されます。 イングレスゲートウェイへのアクセスに使用されるドメイン名は istio-ingressgateway-certs です。 これは、証明書の作成時に commonName が istio-ingressgateway-certs に設定されているためです。