本文介绍如何通过服务网关以文件挂载证书的方式启用HTTPS安全服务,即通过secret卷挂载的方式,将证书以文件方式挂载到Sidecar容器中。

前提条件

注意事项

建议使用SDS方式替代这种文件挂载,从而提升服务网关的安全性,详情请参见使用SDS为服务网关提升安全性

步骤一:生成服务器证书和私钥

如果您已经拥有针对aliyun.com可用的证书和私钥,需要将密钥命名为aliyun.com.key,证书命名为aliyun.com.crt。如果没有,可以使用openssl通过如下操作来生成证书和密钥,操作步骤如下。

  1. 执行以下命令,创建根证书和私钥。
    openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -subj '/O=myexample Inc./CN=aliyun.com' -keyout aliyun.root.key -out aliyun.root.crt
  2. 执行以下命令,为aliyun.com服务器生成证书和私钥。
    openssl req -out aliyun.com.csr -newkey rsa:2048 -nodes -keyout aliyun.com.key -subj "/CN=aliyun.com/O=myexample organization"
    openssl x509 -req -days 365 -CA aliyun.root.crt -CAkey aliyun.root.key -set_serial 0 -in aliyun.com.csr -out aliyun.com.crt

步骤二:保存证书和私钥为Secret

通过以下命令在istio-system命名空间中创建包含证书和私钥的Secret:

kubectl create -n istio-system secret tls istio-ingressgateway-certs --key aliyun.com.key --cert aliyun.com.crt
说明 注意是在入口网关Pod所在的集群对应的kubeconfig环境下。

步骤三:添加证书和私钥挂载卷到入口网关

  1. 登录ASM控制台
  2. 在左侧导航栏,选择服务网格 > 网格管理
  3. 网格管理页面,找到待配置的实例,单击实例的名称或在操作列中单击管理
  4. 数据平面区域,单击入口网关服务页签。
  5. 在对应的已部署的入口网关的操作列,单击YAML
  6. 在入口网关服务对应的YAML定义文件中,添加如下信息到spec:
      secretVolumes:
        - mountPath: /etc/istio/ingressgateway-certs
          name: ingressgateway-certs
          secretName: istio-ingressgateway-certs

    添加之后的YAML文件内容类似如下:

    apiVersion: istio.alibabacloud.com/v1beta1
    kind: IstioGateway
    metadata:
      name: ingressgateway
      namespace: istio-system
    spec:
      clusterIds:
        - c58638b491a5248669b59609e0a17****
      cpu: {}
      externalTrafficPolicy: Local
      maxReplicas: 1
      minReplicas: 1
      ports:
        - name: status-port
          port: 15020
          targetPort: 15020
        - name: http2
          nodePort: 31380
          port: 80
          targetPort: 80
        - name: https
          nodePort: 31390
          port: 443
          targetPort: 443
        - name: tls
          port: 15443
          targetPort: 15443
      replicaCount: 1
      secretVolumes:
        - mountPath: /etc/istio/ingressgateway-certs
          name: ingressgateway-certs
          secretName: istio-ingressgateway-certs
      serviceAnnotations:
        service.beta.kubernetes.io/alibaba-cloud-loadbalancer-spec: slb.s1.small
      serviceType: LoadBalancer

步骤四:检查入口网关配置

添加上述内容之后,入口网关Pod会加载证书与密钥。

通过以下命令(注意是在入口网关Pod所在的集群对应的kubeconfig环境下),验证tls.crt与tls.key已经被挂载到入口网关Pod中。

kubectl exec -it -n istio-system $(kubectl -n istio-system get pods -l istio=ingressgateway -o jsonpath='{.items[0].metadata.name}') -- ls -al /etc/istio/ingressgateway-certs

运行上述命令后,可以得到类似以下结果。

lrwxrwxrwx 1 root root   14 May  9 01:14 tls.crt -> ..data/tls.crt
lrwxrwxrwx 1 root root   14 May  9 01:14 tls.key -> ..data/tls.key

执行以下命令(注意是在入口网关Pod所在的集群对应的kubeconfig环境下),检查Ingress gateway证书中的Subject字段的正确性。

kubectl exec -it -n istio-system $(kubectl -n istio-system get pods -l istio=ingressgateway -o jsonpath='{.items[0].metadata.name}')  -- cat /etc/istio/ingressgateway-certs/tls.crt | openssl x509 -text -noout | grep 'Subject:'

执行以下命令(注意是在入口网关Pod所在的集群对应的kubeconfig环境下),检查Ingress gateway的代理能够正确访问证书。

kubectl exec -it -n istio-system $(kubectl -n istio-system get pods -l istio=ingressgateway -o jsonpath='{.items[0].metadata.name}') -- curl  127.0.0.1:15000/certs

步骤五:定义内部服务

示例中的内部服务是基于Nginx实现的,首先为Nginx服务器创建配置文件。以域名aliyun.com的内部服务为例,定义请求根路径直接返回字样Welcome to aliyun.com! 及状态码200。myexample-nginx.conf的具体内容如下。

events {
}
http {
  log_format main '$remote_addr - $remote_user [$time_local]  $status '
  '"$request" $body_bytes_sent "$http_referer" '
  '"$http_user_agent" "$http_x_forwarded_for"';
  access_log /var/log/nginx/access.log main;
  error_log  /var/log/nginx/error.log;
  server {
    listen 80;
    location / {
        return 200 'Welcome to aliyun.com!';
        add_header Content-Type text/plain;
    }
  }
}
  1. 执行以下命令(注意是在入口网关Pod所在的集群对应的kubeconfig环境下),创建Kubernetes ConfigMap存储Nginx服务器的配置。
    kubectl create configmap myexample-nginx-configmap --from-file=nginx.conf=./myexample-nginx.conf
  2. 执行以下命令(注意是在入口网关Pod所在的集群对应的kubeconfig环境下),设置命名空间default,启用sidecar自动注入。
    kubectl label namespace default istio-injection=enabled
  3. 创建并拷贝以下内容到myexampleapp.yaml文件中,并执行kubectl apply -f myexampleapp.yaml命令,创建域名aliyun.com的内部服务。
    apiVersion: v1
    kind: Service
    metadata:
      name: myexampleapp
      labels:
        app: myexampleapp
    spec:
      ports:
      - port: 80
        protocol: TCP
      selector:
        app: myexampleapp
    ---
    apiVersion: apps/v1
    kind: Deployment
    metadata:
      name: myexampleapp
    spec:
      selector:
        matchLabels:
          app: myexampleapp
      replicas: 1
      template:
        metadata:
          labels:
            app: myexampleapp
        spec:
          containers:
          - name: nginx
            image: nginx
            ports:
            - containerPort: 80
            volumeMounts:
            - name: nginx-config
              mountPath: /etc/nginx
              readOnly: true
          volumes:
          - name: nginx-config
            configMap:
              name: myexample-nginx-configmap

步骤六:创建自定义网关配置对象

  1. 登录ASM控制台
  2. 在左侧导航栏,选择服务网格 > 网格管理
  3. 网格管理页面,找到待配置的实例,单击实例的名称或在操作列中单击管理
  4. 控制平面区域,单击Gateway页签,然后单击新建
  5. 新建页面,按以下步骤定义服务网关,然后单击确定
    1. 选择相应的命名空间。本文以选择default命名空间为例。
    2. 在文本框中,定义服务网关。可参考以下YAML定义:
      apiVersion: networking.istio.io/v1alpha3
      kind: Gateway
      metadata:
        name: istio-myexample-customingressgateway
      spec:
        selector:
          istio: ingressgateway
        servers:
        - hosts:
          - '*.aliyun.com'
          port:
            name: http
            number: 80
            protocol: HTTP
          tls:
            httpsRedirect: true
        - hosts:
          - '*.aliyun.com'
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            mode: SIMPLE
            privateKey: /etc/istio/ingressgateway-certs/tls.key
            serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
    Gateway页签可以看到新建的虚拟服务。

步骤七:创建虚拟服务

  1. 登录ASM控制台
  2. 在左侧导航栏,选择服务网格 > 网格管理
  3. 网格管理页面,找到待配置的实例,单击实例的名称或在操作列中单击管理
  4. 控制平面区域,单击VirtualService页签,然后单击新建
  5. 新建页面,按以下步骤定义虚拟服务,然后单击确定
    1. 选择相应的命名空间。本文以选择default命名空间为例。
    2. 在文本框中,定义Istio虚拟服务。可参考以下YAML定义。
      apiVersion: networking.istio.io/v1alpha3
      kind: VirtualService
      metadata:
        name: istio-myexample-customvirtualservice
      spec:
        hosts:
        - "www.aliyun.com"
        gateways:
        - istio-myexample-customingressgateway
        http:
        - route:
          - destination:
              host: myexampleapp.default.svc.cluster.local
              port:
                number: 80
    VirtualService页签可以看到新建的虚拟服务。

执行结果

可以通过以下任意一种方法获取入口网关服务的地址:

  • 通过控制台查看,请参见查看入口网关的服务信息
  • 在入口网关Pod所在的集群对应的kubeconfig环境下,执行以下命令,获取入口网关服务的地址。
    kubectl get svc -n istio-system -l istio=ingressgateway
  • 执行以下命令,通过HTTPS协议访问aliyun.com服务。
    curl -k -H Host:www.aliyun.com --resolve www.aliyun.com:443:{替换成真实的入口网关IP地址}  https://www.aliyun.com
    Welcome to aliyun.com!