Container Service for Kubernetes：管理HTTPS監聽的SSL認證

名詞解釋

• 預設認證：僅支援更換，不支援添加或刪除。每個監聽下的預設認證是唯一的。

• 擴充認證：支援添加和刪除。每個監聽下可以有多張擴充認證，具體可添加的認證配額，請參見使用限制。

• 監聽認證列表：登入應用型負載平衡ALB控制台可查看監聽認證。

• 新增認證：未包含在當前監聽的認證列表中的認證。

管理SSL認證

典型情境

如果您採用的是自動探索認證的管理方式，當您在認證中心購買或上傳了新的SSL認證，ALB Ingress Controller組件將不會立即識別到這一變化。只有在執行調諧操作時，ALB Ingress Controller組件才會在認證中心查詢、擷取認證，並在此過程中發現新的認證。因此，如果您希望新更新的認證能夠在ALB Ingress中快速生效，您需要主動發起調諧過程。

操作步驟

1. 如需觸發調諧並更新認證，您可以修改ALB Ingress的相關配置。請根據實際業務需要，從ALB Ingress配置詞典中選擇配置進行修改。

   如果您不確定當前業務的具體配置需求，建議在Ingress的YAML檔案中添加非關鍵註解（例如：key_test: value_test），來促使ALB Ingress Controller執行調諧操作。如下所示。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: demo-https
     namespace: default
     annotations:
       key_test: value_test    # 添加一個無意義註解用於觸發調諧。
   spec:
     ingressClassName: alb
     rules:
     - host: demo.alb.ingress.top
       http:
         paths:
         - backend:
             service:
               name: demo-service-https
               port:
                 number: 443
           path: /
           pathType: Prefix
     tls:
     - hosts:
       - demo.alb.ingress.top

2. 執行以下命令，更新Ingress。

   kubectl apply -f demo.yaml

3. 執行以下命令，驗證是否調諧成功。

   kubectl describe ingress demo-https -n default

4. （可選）在Ingress的YAML中刪除無意義的Annotation，並執行步驟2中的命令更新Ingress。

典型情境

• 如果您需要更新當前ALB Ingress中已經生效的Secret資源，那麼您可以直接編輯現有Secret資源的YAML設定檔，並將更新後的YAML檔案應用至Kubernetes叢集，這個操作會自動觸發ALB Ingress Controller組件進行調諧，無需額外的人工操作。具體操作，請參見配置HTTPS認證以實現加密通訊。

• 如果您需要向當前ALB Ingress添加新的Secret認證，您需要先建立新的Secret資源，然後再修改ALB Ingress資源的設定檔，將新的Secret資源名稱添加至TLS對應的secretName欄位中。

  1. 建立新的Secret資源。具體操作，請參見配置HTTPS認證以實現加密通訊。

  2. 將新建立的Secret資源添加至ALB Ingress資源的設定檔。

     在Ingress的YAML中添加新增Secret資源對應的網域名稱及secretName。程式碼範例如下。

     apiVersion: networking.k8s.io/v1
     kind: Ingress
     metadata:
       name: demo-https
       namespace: default
     spec:
       ingressClassName: alb
       rules:
       - host: demo.alb.ingress.top
         http:
           paths:
           - backend:
               service:
                 name: demo-service-https
                 port:
                   number: 443
             path: /
             pathType: Prefix
       - host: newsecret.alb.ingress.top  # 新增網域名稱對應新的Secret資源。
         http:
           paths:
           - backend:
               service:
                 name: demo-service-https
                 port:
                   number: 443
             path: /
             pathType: Prefix
       tls:
       - hosts:
         - demo.alb.ingress.top
         secretName: secret-tls
       - hosts:    
         - newsecret.alb.ingress.top  # 添加新增Secret資源對應的網域名稱。
         secretName: newsecret    # 添加新增Secret資源對應的secretName。

     執行以下命令，更新Ingress。

     kubectl apply -f demo.yaml # 將demo.yaml、替換成您自己的YAML檔案。

典型情境

當您採用AlbConfig指定認證的管理方式時，如果您在認證中心購買或上傳了新的SSL認證，或在認證中心修改老的認證引起認證ID變化後，您可以按照以下操作更新AlbConfig。

操作步驟

1. 擷取認證ID。

   • 登入數位憑證管理服務控制台。

   • 在左側導覽列，選擇認證管理 > SSL認證管理。

   • 在SSL認證管理頁面，單擊上傳認證頁簽，在目標認證操作列下點擊更多，然後在認證詳情面板中擷取認證ID。

2. 通過kubectl edit命令進行累加式更新。

   1. 執行以下命令，查看AlbConfig名稱。

      kubectl -n kube-system get AlbConfig

   2. 執行以下命令，更新對應的AlbConfig。

      kubectl -n <NameSpace> edit AlbConfig <AlbConfig_Name>

      將擷取的認證ID更新至YAML。

        #...
        spec:
          config:
            #...
          listeners:
          - caEnabled: false
            certificates:
            #...
            - CertificateId: 756****-cn-hangzhou # 新增認證ID。
              IsDefault: false
            port: 443
            protocol: HTTPS
            #...