配置說明

針對Nginx Ingress Controller，阿里云容器服務(wù)團隊采用與社區(qū)完全兼容的配置方式。關(guān)于所有的配置說明，請參見NGINX Configuration。

配置URL重定向的路由服務(wù)

當(dāng)您在使用Nginx Ingress Controller的時候，Nginx會將路徑完整轉(zhuǎn)發(fā)到后端（如，從Ingress訪問的/service1/api路徑會直接轉(zhuǎn)發(fā)到后端Pod的/service1/api/路徑）。如果您后端的服務(wù)路徑為/api，則會出現(xiàn)路徑錯誤，導(dǎo)致404的情況。該情況下，您可以通過配置nginx.ingress.kubernetes.io/rewrite-target的方式，來將路徑重寫至需要的目錄。

根據(jù)不同集群版本，創(chuàng)建Nginx Ingress。

cat <<-EOF | kubectl apply -f -
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: foo.bar.com
  namespace: default
  annotations:
    # URL重定向。
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  rules:
  - host: foo.bar.com
    http:
      paths:
    # 在Ingress Controller的版本≥0.22.0之后，path中需要使用正則表達式定義路徑，并在rewrite-target中結(jié)合捕獲組一起使用。
      - path: /svc(/|$)(.*)
        backend:
          service: 
            name: web1-service
            port: 
              number: 80
        pathType: ImplementationSpecific
EOF

cat <<-EOF | kubectl apply -f -
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: foo.bar.com
  namespace: default
  annotations:
    # URL重定向。
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  rules:
  - host: foo.bar.com
    http:
      paths:
    # 在Ingress Controller的版本≥0.22.0之后，path中需要使用正則表達式定義路徑，并在rewrite-target中結(jié)合捕獲組一起使用。
      - path: /svc(/|$)(.*)
        backend:
          serviceName: web1-service
          servicePort: 80
EOF

1. 訪問Nginx服務(wù)。

   1. 執(zhí)行以下命令，獲取ADDRESS。

      kubectl  get  ingress

      預(yù)期輸出：

      NAME           CLASS   HOSTS                ADDRESS          PORTS   AGE
      foo.bar.com    nginx   foo.bar.com        172.16.XX.XX       80      46m

   2. 執(zhí)行以下命令，替換ADDRESS為Ingress對應(yīng)的IP。

      curl -k -H "Host: foo.bar.com"  http://<ADDRESS>/svc/foo

      預(yù)期輸出：

      web1: /foo

Rewrite配置

除了使用nginx.ingress.kubernetes.io/rewrite-target注解支持基本的Rewrite配置。具體操作，可參考配置URL重定向的路由服務(wù)。

如果對于一些復(fù)雜高級的Rewrite需求，可以通過如下注解來實現(xiàn)：

• nginx.ingress.kubernetes.io/server-snippet：擴展配置到Server章節(jié)。

• nginx.ingress.kubernetes.io/configuration-snippet：擴展配置到Location章節(jié)。

這兩個注解分別為Ingress組件的Nginx server模塊添加自定義的代碼片段，這提供了擴展和自定義Nginx配置的靈活性，可以應(yīng)對不同的使用場景。

配置示例：

annotations:
     nginx.ingress.kubernetes.io/server-snippet: |
         rewrite ^/v4/(.*)/card/query http://foo.bar.com/v5/#!/card/query permanent;
     nginx.ingress.kubernetes.io/configuration-snippet: |
         rewrite ^/v6/(.*)/card/query http://foo.bar.com/v7/#!/card/query permanent;

執(zhí)行以下命令，查看Nginx Ingress Controller組件中Nginx配置文件。

kubectl exec nginx-ingress-controller-xxxxx --namespace kube-system -- cat /etc/nginx/nginx.conf   /#根據(jù)實際環(huán)境修改pod名稱

示例配置生成的nginx.conf如下所示。

# start server foo.bar.com
    server {
        server_name foo.bar.com ;
        listen 80;
        listen [::]:80;
        set $proxy_upstream_name "-";
    # server-snippet配置。
        rewrite ^/v4/(.*)/card/query http://foo.bar.com/v5/#!/card/query permanent;
        ...
    # configuration-snippet配置。
      rewrite ^/v6/(.*)/card/query http://foo.bar.com/v7/#!/card/query permanent;
      ...
    }
    # end server foo.bar.com

同時，snippet也支持一些全局配置。詳細信息，請參見server-snippet。

關(guān)于rewrite指令的具體用法，請參見Nginx官方文檔對該指令的描述。

為路由規(guī)則配置HTTPS證書

您可以通過Ingress提供的原生語義來為網(wǎng)站配置 HTTPS 證書。

1. 準(zhǔn)備您的服務(wù)證書。

   說明

   域名需要與您所配置的Host一致，否則將無法被Nginx Ingress Controller正確加載。

   1. 執(zhí)行以下命令，生成一個證書文件tls.crt和一個私鑰文件tls.key。

      openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN=foo.bar.com/O=foo.bar.com"

   2. 執(zhí)行以下命令，創(chuàng)建密鑰。

      通過該證書和私鑰創(chuàng)建一個名為tls-test-ingress的Kubernetes Secret。創(chuàng)建Ingress時需要引用這個Secret。

      kubectl create secret tls tls-test-ingress --key tls.key --cert tls.crt

2. 執(zhí)行和部署以下命令與模板，創(chuàng)建Ingress資源，通過tls字段引用上個步驟中創(chuàng)建的Secret。

   1.19及之后版本集群

   cat <<EOF | kubectl create -f - 
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: test-test-ingress
   spec:
     # 引用tls證書。
     tls:
     - hosts:
       - foo.bar.com # 證書所對應(yīng)的域名。 
       secretName: tls-test-ingress
     rules:
     - host: tls-test-ingress.com
       http:
         paths:
         - path: /foo
           backend:
             service:
               name: web1-svc
               port:
                 number: 80
           pathType: ImplementationSpecific
   EOF

   1.19版本之前集群

   cat <<EOF | kubectl create -f - 
   apiVersion: networking.k8s.io/v1beta1
   kind: Ingress
   metadata:
     name: test-test-ingress
   spec:
     # 引用tls證書。
     tls:
     - hosts:
       - foo.bar.com # 證書所對應(yīng)的域名。
       secretName: tls-test-ingress
     rules:
     - host: tls-test-ingress.com
       http:
         paths:
         - path: /foo
           backend:
             serviceName: web1-svc
             servicePort: 80
   EOF

3. 配置hosts文件或者設(shè)置真實域名來訪問該TLS服務(wù)。

   您可以通過https://tls-test-ingress.com/foo訪問到web1-svc服務(wù)。

配置HTTPS雙向認證

在某些情況下，您可能需要配置服務(wù)器與客戶端之間的雙向HTTPS認證來保證連接的安全性，Nginx Ingress Controller支持通過annotation的方式配置該功能。

1. 執(zhí)行以下命令，創(chuàng)建自簽的CA證書。

   openssl req -x509 -sha256 -newkey rsa:4096 -keyout ca.key -out ca.crt -days 356 -nodes -subj '/CN=Fern Cert Authority'

   預(yù)期輸出：

   Generating a 4096 bit RSA private key
   .............................................................................................................++
   .....................................................................................++
   writing new private key to 'ca.key'

2. 執(zhí)行以下命令，創(chuàng)建Server端證書。

   1. 執(zhí)行以下命令，生成Server端證書的請求文件。

      openssl req -new -newkey rsa:4096 -keyout server.key -out server.csr -nodes -subj '/CN=foo.bar.com'

      預(yù)期輸出：

      Generating a 4096 bit RSA private key
      ................................................................................................................................++
      .................................................................++
      writing new private key to 'server.key'

   2. 執(zhí)行以下命令，使用根證書簽發(fā)Server端請求文件，生成Server端證書。

      openssl x509 -req -sha256 -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt

      預(yù)期輸出：

      Signature ok
      subject=/CN=foo.bar.com
      Getting CA Private Key

3. 執(zhí)行以下命令，創(chuàng)建Client端證書。

   1. 生成Client端證書的請求文件。

      openssl req -new -newkey rsa:4096 -keyout client.key -out client.csr -nodes -subj '/CN=Fern'

      預(yù)期輸出：

      Generating a 4096 bit RSA private key
      .......................................................................................................................................................................................++
      ..............................................++
      writing new private key to 'client.key'
      -----

   2. 執(zhí)行以下命令，使用根證書簽發(fā)Client端請求文件，生成Client端證書。

      openssl x509 -req -sha256 -days 365 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 02 -out client.crt

      預(yù)期輸出：

      Signature ok
      subject=/CN=Fern
      Getting CA Private Key

4. 執(zhí)行以下命令，檢查創(chuàng)建的證書。

   ls

   預(yù)期輸出：

   ca.crt  ca.key  client.crt  client.csr  client.key  server.crt  server.csr  server.key

5. 執(zhí)行以下命令，創(chuàng)建CA證書的Secret。

   kubectl create secret generic ca-secret --from-file=ca.crt=ca.crt

   預(yù)期輸出：

   secret/ca-secret created

6. 執(zhí)行以下命令，創(chuàng)建Server證書的Secret。

   kubectl create secret generic tls-secret --from-file=tls.crt=server.crt --from-file=tls.key=server.key

   預(yù)期輸出：

   secret/tls-secret created

7. 執(zhí)行和部署以下命令與模板，創(chuàng)建測試用的Nginx Ingress用例。

   1.19及之后版本集群

   cat <<-EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     annotations:
       nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
       nginx.ingress.kubernetes.io/auth-tls-secret: "default/ca-secret"
       nginx.ingress.kubernetes.io/auth-tls-verify-depth: "1"
       nginx.ingress.kubernetes.io/auth-tls-pass-certificate-to-upstream: "true"
     name: nginx-test
     namespace: default
   spec:
     rules:
     - host: foo.bar.com
       http:
         paths:
         - backend:
             service:
               name: http-svc
               port: 
                 number: 80
           path: /
           pathType: ImplementationSpecific
     tls:
     - hosts:
       - foo.bar.com
       secretName: tls-secret
   EOF

   1.19版本之前集群

   cat <<-EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1beta1
   kind: Ingress
   metadata:
     annotations:
       nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
       nginx.ingress.kubernetes.io/auth-tls-secret: "default/ca-secret"
       nginx.ingress.kubernetes.io/auth-tls-verify-depth: "1"
       nginx.ingress.kubernetes.io/auth-tls-pass-certificate-to-upstream: "true"
     name: nginx-test
     namespace: default
   spec:
     rules:
     - host: foo.bar.com
       http:
         paths:
         - backend:
             serviceName: http-svc
             servicePort: 80
           path: /
     tls:
     - hosts:
       - foo.bar.com
       secretName: tls-secret
   EOF

   預(yù)期輸出：

   ingress.networking.k8s.io/nginx-test configured

8. 執(zhí)行以下命令，查看Ingress的IP地址。

   kubectl get ing

   預(yù)期輸出如下，ADDRESS字段對應(yīng)的IP地址即為Ingress的IP地址。

   NAME         HOSTS                    ADDRESS         PORTS     AGE
   nginx-test   foo.bar.com              39.102.XX.XX    80, 443   4h42m

9. 執(zhí)行以下命令，更新Hosts文件，替換下面的IP地址為真實獲取的Ingress的IP地址。

   echo "39.102.XX.XX  foo.bar.com" | sudo tee -a /etc/hosts

   結(jié)果驗證：

   • 客戶端不傳證書訪問

     curl --cacert ./ca.crt  https://foo.bar.com

     預(yù)期輸出：

     <html>
     <head><title>400 No required SSL certificate was sent</title></head>
     <body>
     <center><h1>400 Bad Request</h1></center>
     <center>No required SSL certificate was sent</center>
     <hr><center>nginx/1.19.0</center>
     </body>
     </html>

   • 客戶端傳證書訪問

     curl --cacert ./ca.crt --cert ./client.crt --key ./client.key https://foo.bar.com

     預(yù)期輸出：

     <!DOCTYPE html>
     <html>
     <head>
     <title>Welcome to nginx!</title>
     <style>
         body {
             width: 35em;
             margin: 0 auto;
             font-family: Tahoma, Verdana, Arial, sans-serif;
         }
     </style>
     </head>
     <body>
     <h1>Welcome to nginx!</h1>
     <p>If you see this page, the nginx web server is successfully installed and
     working. Further configuration is required.</p>
     
     <p>For online documentation and support please refer to
     <a >nginx.org</a>.<br/>
     Commercial support is available at
     <a >nginx.com</a>.</p>
     
     <p><em>Thank you for using nginx.</em></p>
     </body>
     </html>

配置HTTPS服務(wù)轉(zhuǎn)發(fā)到后端容器為HTTPS協(xié)議

Nginx Ingress Controller默認使用HTTP協(xié)議轉(zhuǎn)發(fā)請求到后端業(yè)務(wù)容器。當(dāng)您的業(yè)務(wù)容器為HTTPS協(xié)議時，可以通過使用注解nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"來使得Nginx Ingress Controller使用HTTPS協(xié)議轉(zhuǎn)發(fā)請求到后端業(yè)務(wù)容器。

Nginx Ingress配置示例如下：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: backend-https
  annotations:
    # 注意這里：必須指定后端服務(wù)為HTTPS服務(wù)。
    nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"
spec:
  tls:
  - hosts:
    - <your-host-name>
    secretName: <your-secret-cert-name>
  rules:
  - host: <your-host-name>
    http:
      paths:
      - path: /
        backend:
          service:
            name: <your-service-name>
            port: 
              number: <your-service-port>
        pathType: ImplementationSpecific

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: backend-https
  annotations:
    # 注意這里：必須指定后端服務(wù)為HTTPS服務(wù)。
    nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"
spec:
  tls:
  - hosts:
    - <your-host-name>
    secretName: <your-secret-cert-name>
  rules:
  - host: <your-host-name>
    http:
      paths:
      - path: /
        backend:
          serviceName: <your-service-name>
          servicePort: <your-service-port>

配置域名支持正則化

在Kubernetes集群中，Ingress資源不支持對域名配置正則表達式，但是可以通過nginx.ingress.kubernetes.io/server-alias注解來實現(xiàn)。

1. 執(zhí)行和部署以下命令與模板，以正則表達式~^www\.\d+\.example\.com為例。

   1.19及之后版本集群

   cat <<-EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: ingress-regex
     namespace: default
     annotations:
       nginx.ingress.kubernetes.io/server-alias: '~^www\.\d+\.example\.com$, abc.example.com'
   spec:
     rules:
     - host: foo.bar.com
       http:
         paths:
         - path: /foo
           backend:
             service:
               name: http-svc1
               port:
                 number: 80
           pathType: ImplementationSpecific
   EOF

   1.19版本之前集群

   cat <<-EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1beta1
   kind: Ingress
   metadata:
     name: ingress-regex
     namespace: default
     annotations:
       nginx.ingress.kubernetes.io/server-alias: '~^www\.\d+\.example\.com$, abc.example.com'
   spec:
     rules:
     - host: foo.bar.com
       http:
         paths:
         - path: /foo
           backend:
             serviceName: http-svc1
             servicePort: 80
    EOF

2. 查看對應(yīng)Nginx Ingress Controller的配置。

   1. 執(zhí)行以下命令，查看部署Nginx Ingress Controller服務(wù)的Pod。

      kubectl get pods -n kube-system | grep nginx-ingress-controller

      預(yù)期輸出：

      nginx-ingress-controller-77cd987c4c-c****         1/1     Running   0          1h
      nginx-ingress-controller-77cd987c4c-x****         1/1     Running   0          1h

   2. 執(zhí)行以下命令，查看對應(yīng)Nginx Ingress Controller的配置，可以發(fā)現(xiàn)生效的配置（Server_Name字段）。

      kubectl exec -n kube-system nginx-ingress-controller-77cd987c4c-c**** cat /etc/nginx/nginx.conf | grep -C3 "foo.bar.com"

      預(yù)期輸出：

        # start server foo.bar.com
        server {
      --
        server {
          server_name foo.bar.com abc.example.com ~^www\.\d+\.example\.com$ ;
          listen 80  ;
          listen 443  ssl http2 ;
      --
      --
          }
        }
        # end server foo.bar.com

3. 執(zhí)行以下命令，獲取Ingress對應(yīng)的IP。

   kubectl get ing

   預(yù)期輸出：

   NAME            HOSTS         ADDRESS          PORTS     AGE
   ingress-regex   foo.bar.com   101.37.XX.XX     80        11s

4. 執(zhí)行以下命令，進行不同規(guī)則下的服務(wù)訪問測試。

   配置以下IP_ADDRESS為上一步獲取的IP地址。

   • 執(zhí)行以下命令，通過Host: foo.bar.com訪問服務(wù)。

     curl -H "Host: foo.bar.com" <IP_ADDRESS>/foo

     預(yù)期輸出：

     /foo

   • 執(zhí)行以下命令，通過Host: www.123.example.com訪問服務(wù)。

     curl -H "Host: www.123.example.com" <IP_ADDRESS>/foo

     預(yù)期輸出：

     /foo

   • 執(zhí)行以下命令，通過Host: www.321.example.com訪問服務(wù)。

     curl -H "Host: www.321.example.com" <IP_ADDRESS>/foo

     預(yù)期輸出：

     /foo

配置域名支持泛化

在Kubernetes集群中，Nginx Ingress資源支持對域名配置泛域名，例如，可配置*. ingress-regex.com泛域名。

1. 執(zhí)行和部署以下命令與模板，創(chuàng)建Nginx Ingress。

   1.19及之后版本集群

   cat <<-EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: ingress-regex
     namespace: default
   spec:
     rules:
   - host: *.ingress-regex.com
       http:
         paths:
         - path: /foo
           backend:
             service:
               name: http-svc1
               port:
                 number: 80
           pathType: ImplementationSpecific
   EOF

   1.19版本之前集群

   $ cat <<-EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1beta1
   kind: Ingress
   metadata:
     name: ingress-regex
     namespace: default
   spec:
     rules:
    - host: *.ingress-regex.com
       http:
         paths:
         - path: /foo
           backend:
             serviceName: http-svc1
             servicePort: 80
    EOF

2. 執(zhí)行以下命令，查看對應(yīng)Nginx Ingress Controller的配置，可以發(fā)現(xiàn)生效的配置（Server_Name字段）。

   kubectl exec -n kube-system <nginx-ingress-pod-name> cat /etc/nginx/nginx.conf | grep -C3 "*.ingress-regex.com"

   說明

   替換nginx-ingress-pod-name為實際環(huán)境的nginx-ingress pod。

   預(yù)期輸出：

   # start server *.ingress-regex.com
     server {
       server_name *.ingress-regex.com ;
       listen 80;
       listen [::]:80;
   ...
     }
     # end server *.ingress-regex.com

   在較新版本的Nginx Ingress Controller中的預(yù)期輸出：

   ## start server *.ingress-regex.com
     server {
       server_name ~^(?<subdomain>[\w-]+)\.ingress-regex\.com$ ;
       listen 80;
       listen [::]:80;
   ...
     }
     ## end server *.ingress-regex.com

3. 執(zhí)行以下命令，獲取Ingress對應(yīng)的IP。

   kubectl get ing

   預(yù)期輸出：

   NAME            HOSTS                 ADDRESS           PORTS     AGE
   ingress-regex   *.ingress-regex.com   101.37.XX.XX      80        11s

4. 執(zhí)行以下命令，進行不同規(guī)則下的服務(wù)訪問測試。

   配置以下IP_ADDRESS為上一步獲取的IP地址。

   • 執(zhí)行以下命令，通過Host: abc.ingress-regex.com訪問服務(wù)。

     curl -H "Host: abc.ingress-regex.com" <IP_ADDRESS>/foo

     預(yù)期輸出：

     /foo

   • 執(zhí)行以下命令，通過Host: 123.ingress-regex.com訪問服務(wù)。

     curl -H "Host: 123.ingress-regex.com" <IP_ADDRESS>/foo

     預(yù)期輸出：

     /foo

   • 執(zhí)行以下命令，通過Host: a1b1.ingress-regex.com訪問服務(wù)。

     curl -H "Host: a1b1.ingress-regex.com" <IP_ADDRESS>/foo

     預(yù)期輸出：

     /foo

通過注解實現(xiàn)灰度發(fā)布

使用cert-manager申請免費的HTTPS證書

cert-manager是一個云原生證書管理開源工具，用于在Kubernetes集群中提供HTTPS證書并自動續(xù)期。以下示例介紹了如何使用cert-manager申請免費證書并自動續(xù)期。

1. 執(zhí)行以下命令，部署cert-manager。

   kubectl apply -f https://github.com/cert-manager/cert-manager/releases/latest/download/cert-manager.yaml

   說明

   上述命令中的YAML示例僅適用于在ACK集群中部署cert-manager。關(guān)于如何在ACK Serverless集群中部署cert-manager，請參見使用cert-manager申請免費的HTTPS證書。

2. 執(zhí)行以下命令，查看Pod狀態(tài)。

   kubectl get pods -n cert-manager

   預(yù)期輸出：

   NAME                     READY   STATUS    RESTARTS   AGE
   cert-manager-1           1/1     Running   0          2m11s
   cert-manager-cainjector  1/1     Running   0          2m11s
   cert-manager-webhook     1/1     Running   0          2m10s

3. 執(zhí)行以下命令，創(chuàng)建ClusterIssuer。

   cat <<EOF | kubectl apply -f -
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: letsencrypt-prod-http01
   spec:
     acme:
       server: https://acme-v02.api.letsencrypt.org/directory
       email: <your_email_name@gmail.com>  # 替換為您的郵箱名。
       privateKeySecretRef:
         name: letsencrypt-http01
       solvers:
       - http01: 
           ingress:
             class: nginx
   EOF

4. 執(zhí)行以下命令，查看ClusterIssuer。

   kubectl get clusterissuer

   預(yù)期輸出：

   NAME                         READY   AGE
   letsencrypt-prod-http01      True    17s

5. 執(zhí)行以下命令，創(chuàng)建Nginx Ingress資源對象。

   1.19及之后版本集群

   cat <<EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: ingress-tls
     annotations:
       kubernetes.io/ingress.class: "nginx"
       cert-manager.io/cluster-issuer: "letsencrypt-prod-http01"
   spec:
     tls:
     - hosts:
       - <your_domain_name>        # 替換為您的域名。
       secretName: ingress-tls   
     rules:
     - host: <your_domain_name>    # 替換為您的域名。
       http:
         paths:
         - path: /
           backend:
             service:
               name: <your_service_name>  # 替換為您的后端服務(wù)名。
               port: 
                 number: <your_service_port>  # 替換為您的服務(wù)端口。
           pathType: ImplementationSpecific
   EOF

   1.19版本之前集群

   cat <<EOF | kubectl apply -f -
   apiVersion: extensions/v1beta1
   kind: Ingress
   metadata:
     name: ingress-tls
     annotations:
       kubernetes.io/ingress.class: "nginx"
       cert-manager.io/cluster-issuer: "letsencrypt-prod-http01"
   spec:
     tls:
     - hosts:
       - <your_domain_name>        # 替換為您的域名。
       secretName: ingress-tls   
     rules:
     - host: <your_domain_name>    # 替換為您的域名。
       http:
         paths:
         - path: /
           backend:
             serviceName: <your_service_name>  # 替換為您的后端服務(wù)名。
             servicePort: <your_service_port>  # 替換為您的服務(wù)端口。
   EOF

   說明

   替換的域名your_domain_name必須符合以下條件：

   • 域名不能超過64個字符。

   • 不支持泛域名。

   • 在公網(wǎng)以HTTP協(xié)議可正常訪問。

6. 執(zhí)行以下命令，查看證書。

   kubectl get cert

   預(yù)期輸出：

   NAME          READY   SECRET        AGE
   ingress-tls   True    ingress-tls   52m

   說明

   如果READY狀態(tài)不為True，可通過kubectl describe cert ingress-tls查看證書處理過程。

7. 執(zhí)行以下命令，查看Secret。

   kubectl get secret  ingress-tls

   預(yù)期輸出：

   NAME          TYPE                DATA   AGE
   ingress-tls   kubernetes.io/tls   2      2m

8. 通過Web瀏覽器輸入https://[網(wǎng)站域名]訪問設(shè)置的域名。

配置HTTP重定向至HTTPS

Nginx Ingress的nginx.ingress.kubernetes.io/ssl-redirect注解可以強制將HTTP重定向到HTTPS。示例如下所示：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: "true" # 強制將HTTP流量重定向到HTTPS。

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: "true" # 強制將HTTP流量重定向到HTTPS。