Container Compute Service:HTTPS での暗号化通信用の証明書の構成

異なる方法で構成された証明書の互換性

次の表は、異なる証明書構成方法の互換性について説明しています。

手順

ステップ 1：AlbConfig で HTTPS リスナーを作成する

1. 次のコマンドを実行して、albconfig 構成ファイルを編集します。

   kubectl edit albconfig <Albconfig_Name>

2. ビジネス要件に基づいて構成を変更します。AlbConfig の port パラメーターと protocol パラメーターを構成して、対応するリスナーを作成できます。

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb
   spec:
     config:
       addressAllocatedMode: Fixed
       addressType: Internet
       zoneMappings:
       - vSwitchId: vsw-bp19sXXXXXXX176iv
       - vSwitchId: vsw-bp1boXXXXXXXu74xz
     listeners:
     - port: 80
       protocol: HTTP
     - port: 443           # 新しいコンテンツ
       protocol: HTTPS     # 新しいコンテンツ

(オプション) 手順 2: 自己署名証明書を作成する

次の OpenSSL コマンドを実行して、自己署名証明書を作成します。

openssl genrsa -out albtop-key.pem 4096
openssl req -subj "/CN=demo.alb.ingress.top" -sha256  -new -key albtop-key.pem -out albtop.csr
echo subjectAltName = DNS:demo.alb.ingress.top > extfile.cnf
openssl x509 -req -days 3650 -sha256 -in albtop.csr -signkey albtop-key.pem -out albtop-cert.pem -extfile extfile.cnf

予期される結果：

Certificate request self-signature ok
subject=CN=demo.alb.ingress.top

手順 3：サンプル リソースを作成する

作成した AlbConfig に加えて、ALB Ingress を正常に機能させるには、Deployment、Service、IngressClass、および Ingress を作成する必要があります。次の YAML テンプレートを使用して、前述のリソースを作成できます。

1. https-quickstart.yaml という名前のファイルを作成し、次のコンテンツをファイルにコピーします。

   YAML ファイルのコンテンツを表示

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: https-ingressclass
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb # 作成した AlbConfig の名前に設定します。
   ---
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # demo.alb.ingress.top を使用するドメイン名に置き換えます。
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: https-deploy
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: https-deploy
     template:
       metadata:
         labels:
           app: https-deploy
       spec:
         containers:
           - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/old-nginx:latest
             imagePullPolicy: IfNotPresent
             name: https-deploy
             ports:
               - containerPort: 80
                 protocol: TCP
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: https-svc
   spec:
     ports:
       - name: port1
         port: 443
         protocol: TCP
         targetPort: 80
     selector:
       app: https-deploy
     sessionAffinity: None
     type: ClusterIP

2. (オプション) AlbConfig で HTTP リスナーと HTTPS リスナーの両方が構成されている場合は、annotations フィールドを Ingress 構成に追加します。例：

   複数のリスナーを使用する場合はアノテーションを追加する

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
     annotations:
       alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]' # ALB Ingress が複数のリスナーに関連付けられている場合は、このアノテーションを追加します。
   spec:
     #...

3. 次のコマンドを実行して、前述のリソースを作成します。

   kubectl apply -f https-quickstart.yaml

手順 4: 証明書を構成する

ステップ 5：結果を確認する

HTTPS 経由でアプリケーションにアクセスして、証明書が構成されているかどうかを確認します。

1. 次のコマンドを実行して、Ingress をクエリします。

   kubectl get ingress

   予期される結果：

   NAME            CLASS                HOSTS                  ADDRESS                         PORTS     AGE
   https-ingress   https-ingressclass   demo.alb.ingress.top   alb-********.alb.aliyuncs.com   80, 443   83m

   HOSTS 列と ADDRESS 列の値を記録します。

2. 次のコマンドを実行して、ALB Ingress のバックエンドサービスにアクセスします。demo.alb.ingress.top と alb-********.alb.aliyuncs.com を前の手順で取得した値に置き換えます。

   curl -H HOST:demo.alb.ingress.top -k https://alb-********.alb.aliyuncs.com

   次の出力が返された場合、証明書は構成されています。

   old

参照資料

• HTTP/3 プロトコルを使用するクライアントからのリクエストを受信する場合、詳細については、「QUIC リスナーを使用して HTTP/3 をサポートし、ネットワーク パフォーマンスを向上させる」をご参照ください。

• リスナーを使用して HTTPS 相互認証を有効にする場合、詳細については、「HTTPS 相互認証を使用してサービス セキュリティを強化する」をご参照ください。