如何在 Google Kubernetes Engine 上设置可扩展的自定义域和自动 SSL 架构答案

【问题标题】：How to set up an architecture of scalable custom domains & auto-SSL on Google Kubernetes Engine如何在 Google Kubernetes Engine 上设置可扩展的自定义域和自动 SSL 架构
【发布时间】：2019-05-26 04:23:33
【问题描述】：

我们正在研究最佳解决方案，让客户可以通过我们的托管服务使用他们的域名。托管服务基于 Google App Engine 标准。要求是：

客户可以通过 CNAME 或 A 记录将他们的域名指向我们的服务器
我们的服务器应该能够使用 Let's Encrypt 自动为它们生成 SSL 证书
我们的服务器应该能够处理客户上传的自定义 SSL 证书
在将新客户（新的配置文件、SSL 证书等）添加到我们的服务器时应该稳健可靠
应该是可扩展的，并且可以处理大量的自定义域和流量（例如从 0 到 10000）
最低运营成本（维护基础架构所需的时间越少越好）

看来 Google Kubernetes Engine（以前称为 Google Container Engine）将是前进的方向。是否有特定的、经过验证的方法来设置它？任何建议/经验分享将不胜感激。

【问题讨论】：

标签： ssl lets-encrypt google-kubernetes-engine kubernetes-ingress custom-domain

【解决方案1】：

我建议您通过此link 开始设置 GKE 集群。

为了您在 GKE 上使用 SSL，我建议您按照 link 中的说明创建一个 Ingress，如果您使用默认的 GLBC 入口控制器，它会自动在 GCP 中创建一个负载均衡器资源。生成的 LB 的配置（端口、主机路径规则、证书、后端服务等）由 Ingress 对象本身的配置定义。您可以将域名指向负载均衡器的IP。

如果您想将 Ingress（以及由此产生的 LB）配置为使用由“Let's Encrypt”创建的证书，您将修改 Ingress 的 YAML 中显示的配置。为了实际集成 Let's Encrypt for Kubernetes，实际上可以通过使用名为 cert-manager 的服务来自动化获取 TLS/SSL 证书并将它们存储在机密中的过程。这个link 展示了如何使用 cert-manager with GKE。

如果您想使用自我管理的 SSL 证书，请参阅link 了解更多信息。 GKE 可通过 GKE 的集群 autoscaler 进行扩展，该集群会根据您要运行的工作负载的需求自动调整集群的大小。

【讨论】：

非常感谢您指出明确的方向，这正是我正在寻找的。将阅读您提到的链接。