使用插件证书和密钥进入 ISTIO 中的集群无法使用 Godady CA 证书答案

【问题标题】：Not working Godady CA certs using Plug in certificates and key into the cluster in the ISTIO使用插件证书和密钥进入 ISTIO 中的集群无法使用 Godady CA 证书
【发布时间】：2022-02-07 13:22:36
【问题描述】：

我已经开始着手实施 istio 并且能够看到一些进展。几乎没有疑问，我发现自己在文档中遗漏了一些东西....

目前，我正在为 2 个部署使用网关、虚拟服务、目标规则、授权服务，并且我能够在 kiali 仪表板中看到启用了 mTLS 的图表。一切正常。

由于我现在必须使用 GoDaddy CA 证书，查看了有关“插入证书并密钥进入集群”的文档，看起来就像在全新安装istio 它正在选择自定义 CA 证书，但出现以下错误

2022-02-03T16:23:31.337162Z info    initializing mesh networks from mesh config watcher
2022-02-03T16:23:31.337167Z info    initializing mesh handlers
2022-02-03T16:23:31.337178Z info    creating CA and initializing public key
2022-02-03T16:23:31.337214Z info    Use local CA certificate
Error: failed to create discovery service: failed to create CA: failed to create an istiod CA: certificate is not authorized to sign other certificates
2022-02-03T16:23:31.338090Z error   failed to create discovery service: failed to create CA: failed to create an istiod CA: certificate is not authorized to sign other certificates

如果我错过了任何事情，如果我必须调查任何事情，我就会陷入困境并探索任何其他方法。

您能否就这方面的一些意见提出建议。

【问题讨论】：

您使用了哪个版本的 Kubernetes 和 Istio，您是如何设置集群的？您是否使用裸机安装或某些云提供商？重现您的问题很重要。
目前使用AWS EKS集群，正在使用kubernetes 1.21和Istio 1.12。
你看到this page了吗？对您有帮助吗？
自签名我可以实现，但使用 Godaddy 证书它不起作用

标签： amazon-eks istio istio-sidecar servicemesh

【解决方案1】：

如果我对您的理解正确，您是 talking about this page 并试图代表 GoDaddy 颁发证书。这将不起作用（除非您是 GoDaddy 的所有者..）

除非您正在运行两个集群，否则您很可能不需要此设置。

如果使用 AWS，您通常会通过 HTTPS 将 ALB 连接到您的 Istio 网关 (NodePort)。让 Istio 使用自签名证书。

【讨论】：

感谢您的回复，所以可以在 mTLS 的目标规则中，我是否可以使用 Godaddy ca 证书。请分享您的想法
没有。 Istio 将每三个月配置和轮换这些 mtls 证书，因此它必须是一个证书颁发机构。对集群中的某些 mtls 使用像 Godaddy 这样的 3rd 方 CA 是没有意义的。就好像你说你不信任你的集群身份，想要第三方来验证……