Alibaba Cloud Service Mesh:Use cert-manager to manage certificates for ASM gateways

Etapa 1: Crie um Issuer e um Certificate

1. Salve o YAML a seguir como issuer.yaml. Este arquivo defina um Issuer autoassinado e solicita um certificado de CA:

   Show the issuer.yaml file

      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: selfsigned
      spec:
        selfSigned: {}
      ---
      apiVersion: cert-manager.io/v1
      kind: Certificate
      metadata:
        name: istio-ingressgateway-certs
      spec:
        isCA: true
        duration: 2160h # 90 days
        secretName: istio-ingressgateway-certs
        commonName: istio-ingressgateway-certs
        subject:
          organizations:
          - cluster.local
          - cert-manager
        issuerRef:
          name: selfsigned
          kind: Issuer
          group: cert-manager.io

2. Aplique a configuração no namespace istio-system:

      kubectl apply -f issuer.yaml -n istio-system

3. Verifique se o Secret do certificado existe:

      kubectl get secret -n istio-system

   Saída esperada:

      NAME                                        TYPE                             DATA   AGE
      istio-ingressgateway-certs                  kubernetes.io/tls                3      68m

   Um Secret do tipo kubernetes.io/tls com DATA=3 confirma a criação do certificado.

Etapa 2: Configure o gateway do ASM para HTTPS

1. Implante a aplicação httpbin como backend de teste.

2. Adicione um listener HTTPS na porta 443 ao Istio Gateway do httpbin. Aplique essa configuração usando o kubeconfig da instância do ASM ou edite o YAML na página Gateway do console do ASM. Para mais detalhes, consulte Manage Istio gateways.

      apiVersion: networking.istio.io/v1beta1
      kind: Gateway
      metadata:
        name: httpbin
        namespace: default
      spec:
        selector:
          istio: ingressgateway
        servers:
          - hosts:
              - '*'
            port:
              name: test
              number: 80
              protocol: HTTP
          - hosts:
              - '*'
            port:
              name: https
              number: 443
              protocol: HTTPS
            tls:
              credentialName: istio-ingressgateway-certs
              mode: SIMPLE

   O campo credentialName referencia o Secret criado pelo cert-manager. O modo TLS SIMPLE habilita o TLS unidirecional (apenas autenticação do servidor).

Etapa 3: Verifique o acesso HTTPS

1. Obtenha o endereço IP do gateway de entrada e armazene-o em uma variável:

      GATEWAY_IP=$(kubectl get svc -n istio-system -l istio=ingressgateway \
        -o jsonpath='{.items[0].status.loadBalancer.ingress[0].ip}')
      echo $GATEWAY_IP

2. Envie uma solicitação HTTPS para o serviço httpbin. A flag -k ignora a verificação do certificado porque ele é autoassinado:

      curl -k --resolve istio-ingressgateway-certs:443:$GATEWAY_IP \
        https://istio-ingressgateway-certs/status/418 -I

   O código de status 418 confirma o funcionamento do HTTPS. O domínio istio-ingressgateway-certs corresponde ao commonName no recurso Certificate.

Secret do certificado não criado

Verifique o status do recurso Certificate:

kubectl describe certificate istio-ingressgateway-certs -n istio-system

Analise a seção Events em busca de mensagens de erro. Causas comuns incluem:

• Issuer sem o status Ready. Execute kubectl get issuer -n istio-system para verificar.

• Pod do controlador do cert-manager parado. Execute kubectl get pods -n cert-manager para verificar.

Gateway não serve HTTPS

Confirme se o Secret existe no namespace istio-system:

kubectl get secret istio-ingressgateway-certs -n istio-system

O Secret deve estar em istio-system para que o gateway de entrada possa carregá-lo. Caso o Secret exista, mas o HTTPS ainda falhe, verifique os logs do gateway de entrada:

kubectl logs -n istio-system -l istio=ingressgateway --tail=50

Incompatibilidade entre versões do cert-manager e do Kubernetes

Se os pods do cert-manager falharem ao iniciar ou as CRDs não forem instaladas, confirme se a versão do cert-manager é compatível com a versão do Kubernetes. Consulte Supported releases.

# Delete the Gateway and httpbin resources
kubectl delete gateway httpbin -n default

# Delete the Certificate and Issuer
kubectl delete certificate istio-ingressgateway-certs -n istio-system
kubectl delete issuer selfsigned -n istio-system

# Delete the TLS Secret
kubectl delete secret istio-ingressgateway-certs -n istio-system