使用 Cert-Manager 部署自訂 Ingress Gateway

這篇文章提供了如何手動建立自訂 ingress gateway，並基於 cert-manager 自動佈建憑證的說明。

建立自訂的 ingress gateway 可以用來隔離流量，以使用不同的 loadbalancer。

開始之前

• 請按照安裝指南中的說明設定 Istio。
• 使用 helm chart設定 cert-manager
• 我們將使用 demo.mydemo.com 作為範例，它必須使用您的 DNS 解析

設定自訂的 ingress gateway

1. 使用以下命令檢查是否已使用 Helm 安裝 cert-manager

   $ helm ls
   

   輸出應與以下範例類似，並顯示 cert-manager 的 STATUS 為 DEPLOYED

   NAME   REVISION UPDATED                  STATUS   CHART                     APP VERSION   NAMESPACE
   istio     1     Thu Oct 11 13:34:24 2018 DEPLOYED istio-1.0.X               1.0.X         istio-system
   cert      1     Wed Oct 24 14:08:36 2018 DEPLOYED cert-manager-v0.6.0-dev.2 v0.6.0-dev.2  istio-system
   

2. 要建立叢集發行者，請套用以下設定

   apiVersion: certmanager.k8s.io/v1alpha1
   kind: ClusterIssuer
   metadata:
     name: letsencrypt-demo
     namespace: kube-system
   spec:
     acme:
       # The ACME server URL
       server: https://acme-v02.api.letsencrypt.org/directory
       # Email address used for ACME registration
       email: <REDACTED>
       # Name of a secret used to store the ACME account private key
       privateKeySecretRef:
         name: letsencrypt-demo
       dns01:
         # Here we define a list of DNS-01 providers that can solve DNS challenges
         providers:
         - name: your-dns
           route53:
             accessKeyID: <REDACTED>
             region: eu-central-1
             secretAccessKeySecretRef:
               name: prod-route53-credentials-secret
               key: secret-access-key
   

3. 如果您使用 route53 提供者，則必須提供一個密鑰才能執行 DNS ACME 驗證。要建立密鑰，請套用以下設定檔

   apiVersion: v1
   kind: Secret
   metadata:
     name: prod-route53-credentials-secret
   type: Opaque
   data:
     secret-access-key: <REDACTED BASE64>
   

4. 建立您自己的憑證

   apiVersion: certmanager.k8s.io/v1alpha1
   kind: Certificate
   metadata:
     name: demo-certificate
     namespace: istio-system
   spec:
     acme:
       config:
       - dns01:
           provider: your-dns
         domains:
         - '*.mydemo.com'
     commonName: '*.mydemo.com'
     dnsNames:
     - '*.mydemo.com'
     issuerRef:
       kind: ClusterIssuer
       name: letsencrypt-demo
     secretName: istio-customingressgateway-certs
   

   記下 secretName 的值，因為未來步驟會需要它。

5. 為了自動擴展，請使用以下設定宣告新的水平 pod 自動調整器

   apiVersion: autoscaling/v1
   kind: HorizontalPodAutoscaler
   metadata:
     name: my-ingressgateway
     namespace: istio-system
   spec:
     maxReplicas: 5
     minReplicas: 1
     scaleTargetRef:
       apiVersion: apps/v1beta1
       kind: Deployment
       name: my-ingressgateway
     targetCPUUtilizationPercentage: 80
   status:
     currentCPUUtilizationPercentage: 0
     currentReplicas: 1
     desiredReplicas: 1
   

6. 使用 yaml 定義中提供的宣告套用您的部署

7. 建立您的服務

   apiVersion: v1
   kind: Service
   metadata:
     name: my-ingressgateway
     annotations:
       service.beta.kubernetes.io/aws-load-balancer-type: nlb
     labels:
       app: my-ingressgateway
       istio: my-ingressgateway
   spec:
     type: LoadBalancer
     selector:
       app: my-ingressgateway
       istio: my-ingressgateway
     ports:
       -
         name: http2
         nodePort: 32380
         port: 80
         targetPort: 80
       -
         name: https
         nodePort: 32390
         port: 443
       -
         name: tcp
         nodePort: 32400
         port: 31400
   

8. 建立您的 Istio 自訂 gateway 設定物件

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     annotations:
     name: istio-custom-gateway
     namespace: default
   spec:
     selector:
       istio: my-ingressgateway
     servers:
     - hosts:
       - '*.mydemo.com'
       port:
         name: http
         number: 80
         protocol: HTTP
       tls:
         httpsRedirect: true
     - hosts:
       - '*.mydemo.com'
       port:
         name: https
         number: 443
         protocol: HTTPS
       tls:
         mode: SIMPLE
         privateKey: /etc/istio/ingressgateway-certs/tls.key
         serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
   

9. 將您的 istio-custom-gateway 與您的 VirtualService 連結

   apiVersion: networking.istio.io/v1alpha3
   kind: VirtualService
   metadata:
     name: my-virtualservice
   spec:
     hosts:
     - "demo.mydemo.com"
     gateways:
     - istio-custom-gateway
     http:
     - route:
       - destination:
           host: my-demoapp
   

10. 伺服器會傳回正確的憑證，並且已成功驗證（印出SSL certificate verify ok）

    $ curl -v `https://demo.mydemo.com`
    Server certificate:
      SSL certificate verify ok.
    

恭喜！ 您現在可以使用您的自訂 istio-custom-gateway gateway 設定物件。