Container Service for Kubernetes:暗号化通信用のHTTPS証明書の設定

異なる方法で構成された証明書の互換性

次の表に、さまざまな証明書設定方法の互換性を示します。

(オプション) ステップ1: 自己署名証明書の作成

次のOpenSSLコマンドを実行して、自己署名証明書を作成できます。

openssl genrsa -out albtop-key.pem 4096
openssl req -subj "/CN=demo.alb.ingress.top" -sha256  -new -key albtop-key.pem -out albtop.csr  # demo.alb.ingress.top can be replaced with your domain name
echo subjectAltName = DNS:demo.alb.ingress.top > extfile.cnf  # demo.alb.ingress.top can be replaced with your domain name
openssl x509 -req -days 3650 -sha256 -in albtop.csr -signkey albtop-key.pem -out albtop-cert.pem -extfile extfile.cnf

手順2: 必要なリソースの作成

ALB Ingressは、デプロイメント、サービス、IngressClasses、およびIngressが期待どおりに機能する必要があります。 次のYAMLテンプレートを使用して、これら4つのリソースを作成します。

1. https-quickstart.yamlという名前のファイルを作成し、次の内容をファイルにコピーして保存します。

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: https-ingressclass
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb # Change to the name of the AlbConfig resource
   ---
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # Replace demo.alb.ingress.top with the domain name associated with the certificate
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: https-deploy
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: https-deploy
     template:
       metadata:
         labels:
           app: https-deploy
       spec:
         containers:
           - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/old-nginx:latest
             imagePullPolicy: IfNotPresent
             name: https-deploy
             ports:
               - containerPort: 80
                 protocol: TCP
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: https-svc
   spec:
     ports:
       - name: port1
         port: 443
         protocol: TCP
         targetPort: 80
     selector:
       app: https-deploy
     sessionAffinity: None
     type: ClusterIP

2. (オプション) AlbConfigでHTTPリスナーとHTTPSリスナーの両方が設定されている場合は、Ingressにannotationsフィールドを追加して、Ingressが複数のリスナーに関連付けられるようにします。 次のコードは、設定を示しています。

   複数のリスナーを使用する場合の注釈の追加

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
     annotations:
       alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]' # Add annotations when you use multiple listeners for ALB Ingress to work properly 
   spec:
     #...

3. 次のコマンドを実行してリソースを作成します。

   kubectl apply -f https-quickstart.yaml

手順3: 証明書の設定

ステップ4: 結果を確認する

HTTPS経由でサービスにアクセスして、証明書が設定されているかどうかを確認できます。

1. 次のコマンドを実行して、Ingress情報を表示します。

   kubectl get ingress

   期待される出力:

   NAME            CLASS                HOSTS                  ADDRESS                         PORTS     AGE
   https-ingress   https-ingressclass   demo.alb.ingress.top   alb-********.alb.aliyuncs.com   80, 443   83m

   HOSTSおよびADDRESSの下の値をコピーして、後で使用します。

2. 次のコマンドを実行して、ALB Ingressを介してHTTPSを使用してバックエンドサービスにアクセスします。 demo.alb.ingress.topおよびalb-******** .alb.aliyuncs.comを前の手順で取得した値に置き換えます。

   curl -H HOST:demo.alb.ingress.top -k https://alb-********.alb.aliyuncs.com

   次の出力が返されると、証明書が設定されます。

   old

関連ドキュメント

• HTTP/3を使用してクライアントアクセスを有効にする方法の詳細については、「QUICリスナーを使用してHTTP/3をサポートする」をご参照ください。

• HTTPSリスナーで相互認証を設定する方法の詳細については、「HTTPS相互認証を使用してサービスセキュリティを強化する」をご参照ください。