配置HTTPS证书以实现加密通信

证书管理方式兼容性说明

如果同时使用了多种证书配置方式，证书的管理方式和兼容性如下所示。

操作流程

步骤一：AlbConfig中创建HTTPS监听

1. 使用以下命令，编辑albconfig配置文件。

   kubectl edit albconfig <Albconfig_Name>

2. 根据您的需求修改配置，可以在AlbConfig中设置port和protocol，以创建相应的监听。

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb
   spec:
     config:
       addressAllocatedMode: Fixed
       addressType: Internet
       zoneMappings:
       - vSwitchId: vsw-bp19sXXXXXXX176iv
       - vSwitchId: vsw-bp1boXXXXXXXu74xz
     listeners:
     - port: 80
       protocol: HTTP
     - port: 443           # 新增内容  
       protocol: HTTPS     # 新增内容

（可选）步骤二：生成自签名证书

如果还未获取证书，执行以下命令可以通过OpenSSL创建自签名证书。

openssl genrsa -out albtop-key.pem 4096
openssl req -subj "/CN=demo.alb.ingress.top" -sha256  -new -key albtop-key.pem -out albtop.csr
echo subjectAltName = DNS:demo.alb.ingress.top > extfile.cnf
openssl x509 -req -days 3650 -sha256 -in albtop.csr -signkey albtop-key.pem -out albtop-cert.pem -extfile extfile.cnf

预期输出：

Certificate request self-signature ok
subject=CN=demo.alb.ingress.top

步骤三：创建示例资源

除了ALBConfig外，ALB Ingress还需要Deployment、Service、IngressClass、Ingress这4种资源才能正常工作，您可以使用以下示例快速创建这4种资源。

1. 创建https-quickstart.yaml文件，并将以下内容拷贝到该文件中并保存。

   展开查看YAML内容

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: https-ingressclass
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb # 修改为AlbConfig资源的名称
   ---
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
   spec:
     ingressClassName: https-ingressclass
     rules:
     - host: demo.alb.ingress.top # demo.alb.ingress.top替换为证书关联的域名
       http:
         paths:
         - backend:
             service:
               name: https-svc
               port:
                 number: 443
           path: /
           pathType: Prefix
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: https-deploy
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: https-deploy
     template:
       metadata:
         labels:
           app: https-deploy
       spec:
         containers:
           - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/old-nginx:latest
             imagePullPolicy: IfNotPresent
             name: https-deploy
             ports:
               - containerPort: 80
                 protocol: TCP
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: https-svc
   spec:
     ports:
       - name: port1
         port: 443
         protocol: TCP
         targetPort: 80
     selector:
       app: https-deploy
     sessionAffinity: None
     type: ClusterIP

2. （可选）如果在ALBConfig中同时配置了使用HTTP协议的监听与使用HTTPS协议的监听，请在Ingress中添加annotations字段，以保证Ingress同时适用于多个监听，修改内容如下：

   使用多个监听时添加annotations

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: https-ingress
     annotations:
       alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80},{"HTTPS": 443}]' # 使用多个监听时需要添加annotation使ALB Ingress正常工作
   spec:
     #...

3. 执行以下命令创建。

   kubectl apply -f https-quickstart.yaml

步骤四：配置证书

步骤五：效果验证

通过使用HTTPS协议访问服务，可以验证配置证书的效果。

1. 执行以下命令，查看Ingress信息。

   kubectl get ingress

   预期输出：

   NAME            CLASS                HOSTS                  ADDRESS                         PORTS     AGE
   https-ingress   https-ingressclass   demo.alb.ingress.top   alb-********.alb.aliyuncs.com   80, 443   83m

   记录下HOSTS与ADDRESS部分的值，以便后续步骤使用。

2. 执行以下命令，使用HTTPS协议连接ALB Ingress访问后端服务。其中的demo.alb.ingress.top与alb-********.alb.aliyuncs.com请替换为在上一步中得到的值。

   curl -H HOST:demo.alb.ingress.top -k https://alb-********.alb.aliyuncs.com

   预期输出如下，则表明证书配置成功：

   old

相关文档

• 如果您希望兼容客户端使用HTTP/3协议访问服务，请参见使用QUIC监听兼容HTTP/3协议提高网络通信性能。

• 如果您希望在监听上使用HTTPS双向认证功能，请参见使用HTTPS双向认证提高服务的安全性。