Container Compute Service:Configure certificates for encrypted communication over HTTPS

Escolha um método

Use a descoberta automática se os certificados já estiverem adquiridos ou carregados no Certificate Management Service e você desejar vinculação automática baseada em nomes de domínio.

Use Kubernetes Secrets para gerenciar certificados dentro do cluster, por exemplo, com o cert-manager.

Use a vinculação via AlbConfig quando precisar de controle explícito sobre qual certificado associar a um listener específico ou quando um listener for compartilhado entre vários Ingresses.

Pré-requisitos

Antes de começar, verifique se você possui:

• Um certificado confiável obtido de uma das seguintes formas:

  • Adquirido no Certificate Management Service

  • Adquirido de outra autoridade certificadora (CA)

  • (Opcional) Um certificado autoassinado gerado para testes — consulte Etapa 2: Gerar um certificado autoassinado (opcional)

Visão geral

Etapa 1: Adicionar um listener HTTPS ao AlbConfig

1. Edite o AlbConfig:

   kubectl edit albconfig <albconfig-name>

2. Adicione uma entrada de listener para a porta 443:

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb
   spec:
     config:
       addressAllocatedMode: Fixed
       addressType: Internet
       zoneMappings:
       - vSwitchId: vsw-bp19sXXXXXXX176iv
       - vSwitchId: vsw-bp1boXXXXXXXu74xz
     listeners:
     - port: 80
       protocol: HTTP
     - port: 443       # Adds the HTTPS listener; a certificate is required for this listener
       protocol: HTTPS

Etapa 2: Gerar um certificado autoassinado (opcional)

Ignore esta etapa se você já possuir um certificado do Certificate Management Service ou de uma CA.

Execute os comandos OpenSSL a seguir para gerar um certificado autoassinado:

openssl genrsa -out albtop-key.pem 4096
openssl req -subj "/CN=demo.alb.ingress.top" -sha256 -new -key albtop-key.pem -out albtop.csr
echo subjectAltName = DNS:demo.alb.ingress.top > extfile.cnf
openssl x509 -req -days 3650 -sha256 -in albtop.csr -signkey albtop-key.pem -out albtop-cert.pem -extfile extfile.cnf

Saída esperada:

Certificate request self-signature ok
subject=CN=demo.alb.ingress.top

Substitua demo.alb.ingress.top pelo seu nome de domínio.

Etapa 3: Criar recursos de exemplo

Além do AlbConfig, o ALB Ingress requer um Deployment, Service, IngressClass e Ingress para funcionar corretamente.

1. Crie um arquivo chamado https-quickstart.yaml com o seguinte conteúdo:

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: https-ingressclass
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb   # Must match the name of your AlbConfig
   ---
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top   # Replace with your domain name
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: https-deploy
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: https-deploy
     template:
       metadata:
         labels:
           app: https-deploy
       spec:
         containers:
           - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/old-nginx:latest
             imagePullPolicy: IfNotPresent
             name: https-deploy
             ports:
               - containerPort: 80
                 protocol: TCP
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: https-svc
   spec:
     ports:
       - name: port1
         port: 443
         protocol: TCP
         targetPort: 80
     selector:
       app: https-deploy
     sessionAffinity: None
     type: ClusterIP

2. Se o AlbConfig tiver listeners HTTP e HTTPS, adicione a anotação listen-ports ao Ingress:

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
     annotations:
       alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]'
   spec:
     # ...

3. Aplique os recursos:

   kubectl apply -f https-quickstart.yaml

Etapa 4: Configurar certificados

Escolha um dos métodos a seguir.

Etapa 5: Verificar o resultado

1. Obtenha o endereço do Ingress:

   kubectl get ingress

   Saída esperada:

   NAME            CLASS                HOSTS                  ADDRESS                         PORTS     AGE
   https-ingress   https-ingressclass   demo.alb.ingress.top   alb-********.alb.aliyuncs.com   80, 443   83m

   Anote os valores nas colunas HOSTS e ADDRESS.

2. Envie uma solicitação HTTPS para o Service de backend:

   curl -H HOST:demo.alb.ingress.top -k https://alb-********.alb.aliyuncs.com

   Substitua demo.alb.ingress.top e alb-********.alb.aliyuncs.com pelos valores obtidos na etapa anterior. Se o certificado estiver configurado corretamente, o comando retornará:

   old

Próximos passos

• Para receber solicitações de clientes que usam o protocolo HTTP/3, consulte Usar listeners QUIC para suportar HTTP/3 e melhorar o desempenho da rede.

• Para ativar a autenticação mútua HTTPS em um listener, consulte Usar autenticação mútua HTTPS para aumentar a segurança do serviço.