在Kubernetes中如何安全地在内部使用HTTPS暴露服务

41次阅读

问题描述

之前使用Docker时，通过nginx反向代理自动处理颁发和签署Let’s Encrypt证书，从而在公共站点上托管了一个服务。现在转向使用Kubernetes，希望能够实现相同的效果：在内部使用受信任和签署的证书，同时不将服务暴露给公网。用户当前正在使用nginx ingress控制器与cert manager，这在对外部服务的暴露上已经表现出色。

解决方案

请注意以下操作可能受Kubernetes版本和特定工具的影响，修改前做好备份。

使用Ingress和Cert-Manager进行安全的内部服务暴露

在Kubernetes中，你可以使用Ingress资源以及Cert-Manager工具来安全地暴露内部服务并使用受信任的证书。下面是一个解决方案的步骤示例：

步骤1：安装Cert-Manager

首先，你需要安装和配置Cert-Manager，这个工具可以自动管理证书的颁发和更新。你可以根据你的Kubernetes集群版本和安装方式选择适合的Cert-Manager版本进行安装。

步骤2：配置自定义域名解析

为了能够颁发受信任的证书，你需要拥有一个公共域名并将其解析到你的Kubernetes集群。这可以通过DNS解析器或服务来完成。

步骤3：创建Ingress资源

创建一个Ingress资源来定义你希望暴露的服务。在这个Ingress资源中，你可以指定使用的证书、域名以及其他配置。

以下是一个示例的Ingress资源配置：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-service-ingress
spec:
  tls:
    - hosts:
        - service.example.com   # 你的域名
      secretName: my-tls-secret # 存储TLS证书的Secret名称
  rules:
    - host: service.example.com # 你的域名
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: my-service   # 你的服务名称
                port:
                  number: 80