如何在Knative中使用Kourier網關 -

Kourier是一個基於Envoy架構實現的輕量級網關，提供Knative Revisions流量分發，支援gRPC服務、逾時和重試、TLS認證和外部認證授權等功能。本文介紹如何在Knative中使用Kourier網關。

前提條件

已建立ACK Serverless叢集或Kubernetes託管版叢集。具體操作，請參見建立叢集、建立Kubernetes託管版叢集。
ACK Serverless叢集已開啟PrivateZone。具體操作，請參見服務發現DNS。
已部署Knative。具體操作，請參見部署Knative。

步驟一：部署Kourier網關

登入Container Service管理主控台，在左側導覽列選擇叢集。
在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇應用 > Knative。
在組件管理頁簽的add-on組件地區，單擊Kourier右側操作列下的部署，然後在彈出框單擊確定。
若Kourier的狀態顯示為已部署，表示部署成功。

步驟二：通過Kouier網關訪問服務

本文以建立helloworld-go服務進行訪問測試為例。

情境一：通過Kourier網關訪問HTTP服務

登入Container Service管理主控台，在左側導覽列選擇叢集。
在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇應用 > Knative。
在Knative頁面的服務管理頁簽下，選擇命名空間為default，然後單擊使用模板建立，將以下YAML樣本粘貼至模板，最後單擊建立。
建立一個名為helloworld-go的服務。
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: helloworld-go
spec:
  template:
    spec:
      containers:
      - image: registry.cn-hangzhou.aliyuncs.com/knative-sample/helloworld-go:73fbdd56
        env:
        - name: TARGET
          value: "Knative"
```
若目標服務的狀態列顯示成功，表明服務已部署成功。
在服務管理頁面的預設網域名稱和訪問網關列，分別擷取helloworld-go服務的網域名稱和網關地址。

執行以下命令，訪問helloworld-go服務。

curl -H "host: helloworld-go.default.example.com" http://8.141.XX.XX # 網關IP和網域名稱請以您的實際資料為準。

預期輸出：

Hello Knative!

預期輸表明，訪問HTTP服務成功。

情境二：通過Kourier網關訪問HTTPS服務

建立一個名為helloworld-go的服務。
具體操作，請參見步驟3。

建立認證。

執行以下命令，產生TLS認證。

openssl genrsa -out tls.key 4096
openssl req -subj "/CN=*.example.com/L=*.example.com" -sha256  -new -key tls.key -out tls.csr
echo subjectAltName = DNS:helloworld-go.default.example.com,DNS:helloworld-go.default.example.cn > extfile.cnf
openssl x509 -req -days 3650 -sha256 -in tls.csr -signkey tls.key -out tls.crt -extfile extfile.cnf

執行以下命令，根據產生的TLS認證檔案建立叢集的Secret。

kubectl -n knative-serving create secret tls kourier-cert --key tls.key --cert tls.crt

執行以下命令，查看knative-serving命名空間下是否存在名為net-kourier-controller的Deployment。
```
kubectl get deployments -n knative-serving
```

執行以下命令，配置認證資訊。

kubectl -n knative-serving edit deployment net-kourier-controller

在net-kourier-controller配置資訊頁面，為如下參數添加Value值。

CERTS_SECRET_NAMESPACE：添加認證Secret所在的命名空間。
CERTS_SECRET_NAME：添加認證Secret名稱。

...
   spec:
      containers:
      - env:
        - name: CERTS_SECRET_NAMESPACE
          value: knative-serving 
        - name: CERTS_SECRET_NAME
          value: kourier-cert
...

執行以下命令，查看net-kourier-controllerd的狀態。

kubectl -n knative-serving get po

預期輸出：

NAME                               READY   STATUS    RESTARTS   AGE
net-kourier-controller-******   1/1     Running   0          10s

執行以下命令，通過認證訪問HTTPS服務。

curl -H "host: helloworld-go.default.example.com" -k --cert tls.crt --key tls.key //8.141.XX.XX # 網關IP和網域名稱請以您的實際資料為準。

預期輸出：

Hello Knative!

預期輸出表明，訪問HTTPS服務成功。