：配置HTTPS認證以實現加密通訊

認證管理方式相容性說明

如果同時使用了多種認證配置方式，認證的管理方式和相容性如下所示。

（可選）步驟一：產生自我簽署憑證

如果還未擷取認證，執行以下命令可以通過OpenSSL建立自我簽署憑證。

openssl genrsa -out albtop-key.pem 4096
openssl req -subj "/CN=demo.alb.ingress.top" -sha256  -new -key albtop-key.pem -out albtop.csr  # demo.alb.ingress.top可替換為您的網域名稱
echo subjectAltName = DNS:demo.alb.ingress.top > extfile.cnf  # demo.alb.ingress.top可替換為您的網域名稱
openssl x509 -req -days 3650 -sha256 -in albtop.csr -signkey albtop-key.pem -out albtop-cert.pem -extfile extfile.cnf

步驟二：建立樣本資源

除了AlbConfig外，ALB Ingress還需要Deployment、Service、IngressClass、Ingress這4種資源才能正常工作，您可以使用以下的樣本快速建立這4種資源。

1. 建立https-quickstart.yaml檔案，並將以下內容拷貝到該檔案中並儲存。

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: https-ingressclass
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb # 修改為AlbConfig資源的名稱
   ---
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # demo.alb.ingress.top替換為認證關聯的網域名稱
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: https-deploy
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: https-deploy
     template:
       metadata:
         labels:
           app: https-deploy
       spec:
         containers:
           - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/old-nginx:latest
             imagePullPolicy: IfNotPresent
             name: https-deploy
             ports:
               - containerPort: 80
                 protocol: TCP
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: https-svc
   spec:
     ports:
       - name: port1
         port: 443
         protocol: TCP
         targetPort: 80
     selector:
       app: https-deploy
     sessionAffinity: None
     type: ClusterIP

2. （可選）如果在AlbConfig中同時配置了使用HTTP協議的監聽與使用HTTPS協議的監聽，請在Ingress中添加annotations欄位，以保證Ingress同時適用於多個監聽，修改內容如下：

   使用多個監聽時添加annotations

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
     annotations:
       alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]' # 使用多個監聽時需要添加annotation使ALB Ingress正常工作
   spec:
     #...

3. 執行以下命令建立。

   kubectl apply -f https-quickstart.yaml

步驟三：配置認證

步驟四：效果驗證

通過使用HTTPS協議訪問服務，可以驗證配置認證的效果。

1. 執行以下命令，查看Ingress資訊。

   kubectl get ingress

   預期輸出：

   NAME            CLASS                HOSTS                  ADDRESS                         PORTS     AGE
   https-ingress   https-ingressclass   demo.alb.ingress.top   alb-********.alb.aliyuncs.com   80, 443   83m

   記錄下HOSTS與ADDRESS部分的值，以便後續步驟使用。

2. 執行以下命令，使用HTTPS協議串連ALB Ingress訪問後端服務。其中的demo.alb.ingress.top與alb-********.alb.aliyuncs.com請替換為在上一步中得到的值。

   curl -H HOST:demo.alb.ingress.top -k https://alb-********.alb.aliyuncs.com

   預期輸出如下，則表明認證配置成功：

   old

相關文檔

• 如果您希望相容用戶端使用HTTP/3協議訪問服務，請參見使用QUIC監聽相容HTTP/3協議。

• 如果您希望在監聽上使用HTTPS雙向認證功能，請參見使用HTTPS雙向認證提高服務的安全性。