管理HTTPS监听的SSL证书

名词解释

• 默认证书：仅支持更换，不支持添加或删除。每个监听下的默认证书是唯一的。

• 扩展证书：支持添加和删除。每个监听下可以有多张扩展证书，具体可添加的证书配额，请参见使用限制。

• 监听证书列表：登录应用型负载均衡ALB控制台可查看监听证书。

• 新增证书：未包含在当前监听的证书列表中的证书。

管理SSL证书

典型场景

如果您采用的是自动发现证书的管理方式，当您在证书中心购买或上传了新的SSL证书，ALB Ingress Controller组件将不会立即识别到这一变化。只有在执行调谐操作时，ALB Ingress Controller组件才会在证书中心查询、获取证书，并在此过程中发现新的证书。因此，如果您希望新更新的证书能够在ALB Ingress中快速生效，您需要主动发起调谐过程。

操作步骤

1. 如需触发调谐并更新证书，您可以修改ALB Ingress的相关配置。请根据实际业务需要，从ALB Ingress配置词典中选择配置进行修改。

   如果您不确定当前业务的具体配置需求，建议在Ingress的YAML文件中添加非关键注解（例如：key_test: value_test），来促使ALB Ingress Controller执行调谐操作。如下所示。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: demo-https
     namespace: default
     annotations:
       key_test: value_test    # 添加一个无意义注解用于触发调谐。
   spec:
     ingressClassName: alb
     rules:
     - host: demo.alb.ingress.top
       http:
         paths:
         - backend:
             service:
               name: demo-service-https
               port:
                 number: 443
           path: /
           pathType: Prefix
     tls:
     - hosts:
       - demo.alb.ingress.top

2. 执行以下命令，更新Ingress。

   kubectl apply -f demo.yaml

3. 执行以下命令，验证是否调谐成功。

   kubectl describe ingress demo-https -n default

4. （可选）在Ingress的YAML中删除无意义的Annotation，并执行步骤2中的命令更新Ingress。

典型场景

• 如果您需要更新当前ALB Ingress中已经生效的Secret资源，那么您可以直接编辑现有Secret资源的YAML配置文件，并将更新后的YAML文件应用至Kubernetes集群，这个操作会自动触发ALB Ingress Controller组件进行调谐，无需额外的人工操作。具体操作，请参见配置HTTPS证书以实现加密通信。

• 如果您需要向当前ALB Ingress添加新的Secret证书，您需要先创建新的Secret资源，然后再修改ALB Ingress资源的配置文件，将新的Secret资源名称添加至TLS对应的secretName字段中。

  1. 创建新的Secret资源。具体操作，请参见配置HTTPS证书以实现加密通信。

  2. 将新创建的Secret资源添加至ALB Ingress资源的配置文件。

     在Ingress的YAML中添加新增Secret资源对应的域名及secretName。代码示例如下。

     apiVersion: networking.k8s.io/v1
     kind: Ingress
     metadata:
       name: demo-https
       namespace: default
     spec:
       ingressClassName: alb
       rules:
       - host: demo.alb.ingress.top
         http:
           paths:
           - backend:
               service:
                 name: demo-service-https
                 port:
                   number: 443
             path: /
             pathType: Prefix
       - host: newsecret.alb.ingress.top  # 新增域名对应新的Secret资源。
         http:
           paths:
           - backend:
               service:
                 name: demo-service-https
                 port:
                   number: 443
             path: /
             pathType: Prefix
       tls:
       - hosts:
         - demo.alb.ingress.top
         secretName: secret-tls
       - hosts:    
         - newsecret.alb.ingress.top  # 添加新增Secret资源对应的域名。
         secretName: newsecret    # 添加新增Secret资源对应的secretName。

     执行以下命令，更新Ingress。

     kubectl apply -f demo.yaml # 将demo.yaml、替换成您自己的YAML文件。

典型场景

当您采用AlbConfig指定证书的管理方式时，如果您在证书中心购买或上传了新的SSL证书，或在证书中心修改老的证书引起证书ID变化后，您可以按照以下操作更新AlbConfig。

操作步骤

1. 获取证书ID。

   • 登录数字证书管理服务控制台。

   • 在左侧导航栏，选择证书管理 > SSL证书管理。

   • 在SSL证书管理页面，单击上传证书页签，在目标证书操作列下点击更多，然后在证书详情面板中获取证书ID。

2. 通过kubectl edit命令进行增量更新。

   1. 执行以下命令，查看AlbConfig名称。

      kubectl -n kube-system get AlbConfig

   2. 执行以下命令，更新对应的AlbConfig。

      kubectl -n <NameSpace> edit AlbConfig <AlbConfig_Name>

      将获取的证书ID更新至YAML。

        #...
        spec:
          config:
            #...
          listeners:
          - caEnabled: false
            certificates:
            #...
            - CertificateId: 756****-cn-hangzhou # 新增证书ID。
              IsDefault: false
            port: 443
            protocol: HTTPS
            #...