amazon-web-services - 使用 AWS ELB 为带有自定义 ACM 证书的 HTTPS 流量配置 Istio Ingress

Question

我已经部署了一个 Kubeflow在 EKS 集群上，但想要使用自定义 ACM 证书配置 HTTPS 监听。 Kubeflow 利用 Istio 的入口网关接收外部流量，默认情况下仅为 HTTP 流量配置。

当我检查创建 Ingress 对象的 ingress.yaml 文件时，我看到它仅针对 HTTP 配置:

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/scheme: internet-facing
    alb.ingress.kubernetes.io/listen-ports: '[{"HTTP": 80}]'
  name: istio-ingress
spec:
  rules:
    - http:
        paths:
          - backend:
              serviceName: istio-ingressgateway
              servicePort: 80
            path: /*

Istio 网关也是如此:

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: kubeflow-gateway
  namespace: kubeflow
spec:
  selector:
    istio: ingressgateway
  servers:
  - hosts:
    - '*'
    port:
      name: http
      number: 80
      protocol: HTTP

我能找到的唯一一篇关于接受 TLS 流量的文章来自 Istio documentation tutorial for its book service ，但它的配置似乎使用了直接挂载到文件系统的证书，位于 /etc/istio/ingressgateway-bookinfo-certs/tls.crt:

$ kubectl apply -f - <<EOF
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: bookinfo-gateway
spec:
  selector:
    istio: ingressgateway # use istio default ingress gateway
  servers:
  - port:
      number: 443
      name: https-bookinfo
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-bookinfo-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-bookinfo-certs/tls.key
    hosts:
    - "bookinfo.com"
EOF

问题是，当我通常配置 AWS ELB 以监听 HTTPS 流量时，我通常必须指定来自 ACM(亚马逊证书管理器)的 SSL 证书。例如，这是我手动配置 Istio 创建的负载均衡器来监听 HTTPS 流量的截图: 这是我为从 Route 53 购买的托管区域获得的证书。但是，老实说，我不知道应该如何在我的 Istio YAML 配置中指定此证书，甚至不知道如何挂载它。我知道这是一个有点基本的问题，但有人可以为我指明教程或演练的方向，了解如何将 HTTPS 监听器与 ACM 一起用于 Istio 入口吗？

Answer 1

我认为您只需要添加注释即可。您可以像这样指定要用于负载均衡器的证书

alb.ingress.kubernetes.io/certificate-arn: arn:aws:acm:eu-central-1:1231234564:certificate/4564abc12-d3c2-4455-8c39-45354cddaf03(替换为您从 ACM 获得的 ARN)

而且我相信您可能需要在端口 443 上进行监听。

https://kubernetes-sigs.github.io/aws-alb-ingress-controller/guide/ingress/annotation/ 上可用注释的文档