amazon-web-services - 使用 AWS ACM 证书配置 Gloo 虚拟服务 SSL

Question

Gloo 文档位于 https://gloo.solo.io/advanced_configuration/tls_setup/完成为 Gloo 虚拟服务设置 SSL 的过程。但是，它仅使用自签名证书执行此操作。我们正在使用 Gloo 基于路径在两个服务之间切换(例如:api.example.com/指向 Elastic Beanstalk 应用程序和 api.example.com/service 指向 Kubernetes 集群应用程序)。

这是两个上游:

开发 API 上游

apiVersion: gloo.solo.io/v1
kind: Upstream
metadata:
  name: dev-api-upstream
  namespace: gloo-system
spec:
  upstreamSpec:
    static:
      hosts:
        - addr: api-dev.example.com
          port: 80

kube-upstream.yaml

apiVersion: gloo.solo.io/v1
kind: Upstream
metadata:
  name: kube-upstream
  namespace: gloo-system
spec:
  upstreamSpec:
    static:
      hosts:
        - addr: api-dev.example.com
          port: 80

最后是虚拟服务:

apiVersion: gateway.solo.io/v1
kind: VirtualService
metadata:
  name: api-prefix
  namespace: gloo-system
spec:
  virtualHost:
    domains:
      - '*'
    routes:
      - matcher:
          prefix: /service2
        routeAction:
          single:
            upstream:
              name: kube-upstream
              namespace: gloo-system
      - matcher:
          prefix: /
        routeAction:
          single:
            upstream:
              name: dev-api-upstream
              namespace: gloo-system

这适用于 HTTP 请求，但适用于 HTTPS 超时。

如何使用 AWS ACM 创建的证书在 Gloo 接收请求的负载均衡器上启用 SSL？

Answer 1

如果您希望您的 VirtualService 终止 SSL，则需要按照您链接的文档中的说明向其添加 SSLConfig:

# create a secret containing the cert you want to serve
kubectl create secret tls my-tls-cert --key <path to private key> \
   --cert <path to ca cert> --namespace gloo-system

然后用 sslConfig 更新你的 vs像这样:

apiVersion: gateway.solo.io/v1
kind: VirtualService
metadata:
  name: api-prefix
  namespace: gloo-system
spec:
  virtualHost:
    domains:
      - '*'
    routes:
      - matcher:
          prefix: /service2
        routeAction:
          single:
            upstream:
              name: kube-upstream
              namespace: gloo-system
      - matcher:
          prefix: /
        routeAction:
          single:
            upstream:
              name: dev-api-upstream
              namespace: gloo-system
  sslConfig:
    secretRef:
      name: my-tls-cert
      namespace: gloo-system

请注意，这将更改提供虚拟服务的代理上的端口(从 80 更改为 443)。