ssl - 为什么谷歌管理的 SSL 证书需要域 DNS 指向静态 IP 地址而不是负载均衡器本身？

Question

我正在为我的 GKE 集群设置入口，一切正常，但我认为我在这里遗漏了一些东西。
谷歌教程说我们需要保留一个外部静态IP并在我们的域中添加A记录以指向该IP，然后在入口规则中定义IP和证书。
为什么我们不能只将域指向负载均衡器 IP？

引用:
https://cloud.google.com/kubernetes-engine/docs/how-to/managed-certs?hl=th

Answer 1

我认为我们在这里有一些误解。让我再解释一下。

您的问题没有显示您正在使用 nginx-ingress .除了承认它的标签之外，没有任何东西。请使用您实际使用的 Controller 的信息更新您的问题。

这很重要，因为 gke-ingress和 nginx-ingress是两种不同的资源。您所引用的指南特定于 gke-ingress .此处使用的注释不适用于 nginx-ingress .如果您按照指南一步一步地使用 gke-ingress而不是 nginx-ingress .

根据标题中的问题:

Why google-managed SSL certificate requires domain DNS to point to a static IP address instead of the load balancer itself?

提到的静态 IP 地址是保留资源，它是专门创建的，不会更改。

此 IP 地址将与 Ingress 一起使用资源与您的GKE簇。 这将确保 Ingress资源将始终具有相同的 IP 地址，并且您的域将始终指向它。

删除您的 Ingress在没有静态 IP 地址的情况下创建资源可能会导致重新创建 Ingress将具有不同的 IP 地址。

从上面的解释:您可以用您的域名指向一个不再与您的 Ingress 关联的 IP 地址。资源，因为您的 Ingress有另一个 IP 地址。

GCP 在 2 种类型的 IP 地址上运行:

短暂的

静态

请查看有关 GCP 上 IP 地址的官方文档:
Cloud.google.com: Compute: IP addresses

此外还有一个 article它显示了 LoadBalancer 类型的服务对象之间的差异和 Ingress资源。

如果您对此有任何疑问，请告诉我。