k3s 将 http 重定向到 https

Question

我正在尝试在 k3s 上部署 AWX，一切正常，但是我想强制执行 SSL - 所以，将 HTTP 重定向到 HTTPS。

我一直在尝试测试 SSL 强制部分，但是它不能正常工作。这是我的 traefik 配置：

apiVersion: helm.cattle.io/v1
kind: HelmChart
metadata:
  name: traefik-crd
  namespace: kube-system
spec:
  chart: https://%{KUBERNETES_API}%/static/charts/traefik-crd-9.18.2.tgz
---
apiVersion: helm.cattle.io/v1
kind: HelmChart
metadata:
  name: traefik
  namespace: kube-system
spec:
  chart: https://%{KUBERNETES_API}%/static/charts/traefik-9.18.2.tgz
  set:
    global.systemDefaultRegistry: ""
  valuesContent: |-
    ssl:
      enforced: true
    rbac:
      enabled: true
    ports:
      websecure:
        tls:
          enabled: true
    podAnnotations:
      prometheus.io/port: "8082"
      prometheus.io/scrape: "true"
    providers:
      kubernetesIngress:
        publishedService:
          enabled: true
    priorityClassName: "system-cluster-critical"
    image:
      name: "rancher/library-traefik"
    tolerations:
    - key: "CriticalAddonsOnly"
      operator: "Exists"
    - key: "node-role.kubernetes.io/control-plane"
      operator: "Exists"
      effect: "NoSchedule"
    - key: "node-role.kubernetes.io/master"
      operator: "Exists"
      effect: "NoSchedule"

根据此处的 Helm 图表 https://github.com/helm/charts/tree/master/stable/traefik#configuration，ssl.enforced 参数应该可以解决问题，但是当我使用 http 访问我的主机时，它仍然没有将我重定向到 https。我可以看到 Rancher 也在为 traefik 部署一个 LB 服务，我需要修改它吗？

Answer 1

我努力让重定向工作，终于找到了一个有效的配置。

您应该在 kubernetes 中定义一个中间件对象，并且您的 Ingress 对象必须引用它。请注意，因为 traefik 中的文档在这里非常具有误导性，因为在许多页面上发现的中间件清单忘记了“命名空间”注释，所以他们保证这是“默认”（顺便说一句，这是愚蠢的，没有认真的人在默认命名空间上工作）。

因此，这是一个有效的配置：

apiVersion: traefik.containo.us/v1alpha1
kind: Middleware
metadata:
  name: redirect
  namespace: some_namespace
spec:
  redirectScheme:
    scheme: https
    permanent: true

和

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: wordpress
  namespace: your_app_namespace
  annotations:
    kubernetes.io/ingress.class: traefik
    traefik.ingress.kubernetes.io/router.middlewares: some_namespace-redirect@kubernetescrd
spec:
  tls:
    - secretName: your_certificate
      hosts:
        - www.your_website.com
  rules:
    - host: www.your_website.com
      http:
        paths:
          - path: /
            backend:
              service:
                name: your_service
                port:
                  number: 80
            pathType: ImplementationSpecific

所以诀窍是：

• 定义一个中间件对象（在您想要的任何命名空间中，但可能与您的应用在同一个命名空间中）
• 在 traefik.ingress.kubernetes.io/router.middlewares 中使用语法 <NAMESPACE>-<NAME>@kubernetescrd 引用它（其中 NAMESPACE 和 NAME 是中间件对象的那些）