使用 Cert-Manager 部署自定义 Ingress 网关

本文提供说明，以便手动创建自定义 Ingress 网关，并基于 cert-manager 自动供应证书。

创建自定义 Ingress 网关可以用于拥有不同的 loadbalancer 以隔离流量。

开始之前

• 按照 安装指南 中的说明设置 Istio。
• 使用 helm chart 设置 cert-manager。
• 我们将使用 demo.mydemo.com 作为我们的示例，它必须通过您的 DNS 解析。

配置自定义 Ingress 网关

1. 使用以下命令检查是否使用 Helm 安装了 cert-manager

   $ helm ls
   

   输出应类似于以下示例，并显示 cert-manager，其 STATUS 为 DEPLOYED

   NAME   REVISION UPDATED                  STATUS   CHART                     APP VERSION   NAMESPACE
   istio     1     Thu Oct 11 13:34:24 2018 DEPLOYED istio-1.0.X               1.0.X         istio-system
   cert      1     Wed Oct 24 14:08:36 2018 DEPLOYED cert-manager-v0.6.0-dev.2 v0.6.0-dev.2  istio-system
   

2. 要创建集群颁发者，请应用以下配置

   apiVersion: certmanager.k8s.io/v1alpha1
   kind: ClusterIssuer
   metadata:
     name: letsencrypt-demo
     namespace: kube-system
   spec:
     acme:
       # The ACME server URL
       server: https://acme-v02.api.letsencrypt.org/directory
       # Email address used for ACME registration
       email: <REDACTED>
       # Name of a secret used to store the ACME account private key
       privateKeySecretRef:
         name: letsencrypt-demo
       dns01:
         # Here we define a list of DNS-01 providers that can solve DNS challenges
         providers:
         - name: your-dns
           route53:
             accessKeyID: <REDACTED>
             region: eu-central-1
             secretAccessKeySecretRef:
               name: prod-route53-credentials-secret
               key: secret-access-key
   

3. 如果您使用 route53 提供程序，则必须提供一个密钥以执行 DNS ACME 验证。要创建密钥，请应用以下配置文件

   apiVersion: v1
   kind: Secret
   metadata:
     name: prod-route53-credentials-secret
   type: Opaque
   data:
     secret-access-key: <REDACTED BASE64>
   

4. 创建您自己的证书

   apiVersion: certmanager.k8s.io/v1alpha1
   kind: Certificate
   metadata:
     name: demo-certificate
     namespace: istio-system
   spec:
     acme:
       config:
       - dns01:
           provider: your-dns
         domains:
         - '*.mydemo.com'
     commonName: '*.mydemo.com'
     dnsNames:
     - '*.mydemo.com'
     issuerRef:
       kind: ClusterIssuer
       name: letsencrypt-demo
     secretName: istio-customingressgateway-certs
   

   记下 secretName 的值，因为后面的步骤需要它。

5. 要自动扩展，请使用以下配置声明一个新的水平 pod 自动伸缩器

   apiVersion: autoscaling/v1
   kind: HorizontalPodAutoscaler
   metadata:
     name: my-ingressgateway
     namespace: istio-system
   spec:
     maxReplicas: 5
     minReplicas: 1
     scaleTargetRef:
       apiVersion: apps/v1beta1
       kind: Deployment
       name: my-ingressgateway
     targetCPUUtilizationPercentage: 80
   status:
     currentCPUUtilizationPercentage: 0
     currentReplicas: 1
     desiredReplicas: 1
   

6. 使用 yaml 定义 中提供的声明应用您的部署

7. 创建您的服务

   apiVersion: v1
   kind: Service
   metadata:
     name: my-ingressgateway
     annotations:
       service.beta.kubernetes.io/aws-load-balancer-type: nlb
     labels:
       app: my-ingressgateway
       istio: my-ingressgateway
   spec:
     type: LoadBalancer
     selector:
       app: my-ingressgateway
       istio: my-ingressgateway
     ports:
       -
         name: http2
         nodePort: 32380
         port: 80
         targetPort: 80
       -
         name: https
         nodePort: 32390
         port: 443
       -
         name: tcp
         nodePort: 32400
         port: 31400
   

8. 创建您的 Istio 自定义网关配置对象

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     annotations:
     name: istio-custom-gateway
     namespace: default
   spec:
     selector:
       istio: my-ingressgateway
     servers:
     - hosts:
       - '*.mydemo.com'
       port:
         name: http
         number: 80
         protocol: HTTP
       tls:
         httpsRedirect: true
     - hosts:
       - '*.mydemo.com'
       port:
         name: https
         number: 443
         protocol: HTTPS
       tls:
         mode: SIMPLE
         privateKey: /etc/istio/ingressgateway-certs/tls.key
         serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
   

9. 将您的 istio-custom-gateway 与您的 VirtualService 链接

   apiVersion: networking.istio.io/v1alpha3
   kind: VirtualService
   metadata:
     name: my-virtualservice
   spec:
     hosts:
     - "demo.mydemo.com"
     gateways:
     - istio-custom-gateway
     http:
     - route:
       - destination:
           host: my-demoapp
   

10. 服务器返回正确的证书，并且已成功验证（SSL certificate verify ok 已打印）

    $ curl -v `https://demo.mydemo.com`
    Server certificate:
      SSL certificate verify ok.
    

恭喜！ 您现在可以使用您的自定义 istio-custom-gateway 网关 配置对象。