将 TLS 添加到 Kubernetes 服务的最简单方法是什么？

Question

我在 GKE 上的 Kubernetes 上公开公开了一个简单的 Web 服务器，并注册了一个域。我希望为此添加 TLS，以便可以通过 HTTPS 访问它。我听说过很多关于使用 Let's Encrypt 并最终尝试这样做：https://github.com/jetstack/cert-manager/blob/master/docs/tutorials/acme/quick-start/index.rst，但发现它完全压倒性的。鉴于我的部署只是一个服务和 pod，是否有更简单的方法来使用 Let's Encrypt？

我使用的配置是：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: web
  labels:
    app: web
spec:
  replicas: 1
  selector:
    matchLabels:
      app: web
  template:
    metadata:
      labels:
        app: web
    spec:
      containers:
      - name: web
        image: gcr.io/my-repo
        ports:
        - containerPort: 8080
        livenessProbe:
          httpGet:
            path: /healthz
            port: 8080
        readinessProbe:
          initialDelaySeconds: 10
          httpGet:
            path: /healthz
            port: 8080
---
apiVersion: v1
kind: Service
metadata:
  name: web-balancer-service
spec:
  ports:
  - port: 8080
    protocol: TCP
    targetPort: 8080
  selector:
    run: web
  type: NodePort
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: my-ingress-app

spec:
  rules:
  - host: my.domain.com
    http:
      paths:
      - path: /*
        backend:
          serviceName: web-balancer-service
          servicePort: 8080

=========================================

编辑：按照@Utku Özdemir 的建议，我尝试将这些更改编入 YAML。我用

创建了 IP 地址

gcloud compute addresses create example-ip-address --global

证书和配置：https://gist.github.com/nickponline/ab74d3d179e21474551b7596c6478eea

一切都正确设置，但是当我用kubectl describe ManagedCertificates example-certificate 检查 ManagedCertificates 时说

Spec:
  Domains:
    app.domain.xyz
Status:
  Certificate Name:    xxxxxxxxxxxxxxxxxx
  Certificate Status:  Provisioning
  Domain Status:
    Domain:  app.domain
    Status:  FailedNotVisible
Events:      <none>

我已经等了 24 小时，所以假设这不会改变。

Answer 1

由于您使用 GKE 本身的入口控制器，当您创建 Ingress 资源时，它会触发在 Google Cloud Platform 中创建 Load Balancer 资源。通常，SSL 终止是入口控制器的责任，因此 GCP 负载平衡器负责执行 SSL 终止。

这意味着，cert-manager 不适用于您的情况，因为证书将存在于您的集群之外，并且流量在进入您的集群之前已经被 SSL 终止。

幸运的是，GCP 支持自配置 SSL（Let's Encrypt）。要使用它，您需要按照以下步骤操作：

1. 转到 GCP 上的负载平衡屏幕，切换到高级视图，然后跳转到证书选项卡（或直接单击 here）。

2. 创建一个新的 SSL 证书，并选择“创建 Google 管理的证书”。在域字段中，写下您想要 SSL 证书的确切域。它应该是这样的：

1. 转到External IP Addresses 屏幕，并保留一个新的静态IP 地址。选择全局类型（在撰写本文时，GCP 入口控制器仅支持全局 IP 地址）。应该是这样的：

4. 获取您保留的静态 IP（在本例中为 34.95.84.106）

转到您的域注册商，并为您的域（SSL 证书中的那个）添加一条A 类型记录，以指向您分配的静态 IP。在此示例中，它将是 my-app.example.com -> 34.95.84.106。

5. 最后，您需要编辑您的入口以放置 2 个注释，因此它会提示 Google Cloud 的入口控制器使用您保留的静态 IP 和您创建的证书。请参阅下面的入口示例：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: my-ingress-app
  annotations:
    ingress.gcp.kubernetes.io/pre-shared-cert: my-ssl-certificate # the name of the SSL certificate resource you created
    kubernetes.io/ingress.global-static-ip-name: my-static-ip # the name of the static ip resource you created
    kubernetes.io/ingress.allow-http: "false" # if you want to block plain http
spec:
  rules:
    - host: my-app.example.com
      http:
        paths:
          - path: /*
            backend:
              serviceName: web-balancer-service
              servicePort: 8080

应用它，并通过转到 GCP 上的负载均衡器屏幕来验证更改是否得到反映。

重要提示：

• 如果已经有一个由 Ingress 创建的 GCP 负载均衡器，您对 Ingress 所做的更改（注释）将不会反映到现有的负载均衡器。因此，请删除现有的 ingress，确保现有的负载均衡器消失，并使用正确的注释创建 ingress，这样负载均衡器才能正确配置。

• 为了让 Let's Encrypt 配置正常工作，您的 DNS 记录应该就位。它在颁发证书之前使用 DNS 检查域的所有者。此外，初始配置可能需要相当长的时间（最多半小时）。