用于 x509 证书身份验证的 Kubernetes Ingress 注释

Question

我正在尝试使用 kubernetes 入口注释规则来启用 X509 身份验证。
我的入口 yaml 文件定义如下:

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  namespace: bdf-opengie-test
  name: keycloak-opengie-test-ssl
  labels:
    app: keycloak-opengie
  annotations:
   nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
   nginx.ingress.kubernetes.io/auth-tls-secret: "opengie-tls-secret"
   nginx.ingress.kubernetes.io/auth-tls-verify-depth: "3"
   nginx.ingress.kubernetes.io/auth-tls-pass-certificate-to-upstream: "true"
spec:
  rules:
  - host: keycloak-opengie-test-ssl.bdf-clu4.paas.eclair.local
    http:
      paths:
      - path: /
        backend:
          serviceName: keycloak-opengie
          servicePort: http
  tls:
   - hosts:
     - keycloak-opengie-test-ssl.bdf-clu4.paas.eclair.local

当我调用我的应用程序 url 时，我希望看到一个请求证书的弹出窗口，但没有任何 react 。
注释似乎对入口定义没有影响。
有人可以告诉我 ingress 定义中出了什么问题。
我正在使用 Nginx Ingress: 0.15.0 和 Kubernetes 1.10.5

Answer 1

首先，您缺少为您的域发布的 SSL 文件的 secret 。 (如果我们谈论的是原生 k8s secret 管理)您的 secret 应该由以下人员创建:

kubectl --namespace bdf-opengie-test create secret tls <secret_name> --key <key_path> --cert <cert_path>

那么你的 Ingress .yml 文件应该包含这个 secret :

 ...
 tls:
   - hosts:
     - keycloak-opengie-test-ssl.<domain>
     secretName: <secret_name>

只有在此之后，您才能考虑 auth 的任何注释或其他不起作用的东西

注意: secret 是一个命名空间对象。