如何在Istio入口网关上启用HTTPS

Question

我试图在安装服务网格、网关和应用路由策略后，在我的Istio入口网关上启用HTTPS。最初的Istio安装是使用一个配置文件完成的，该配置文件包括一个istio-ingress网关服务。当我这样做时，它将入口网关创建为Kind： Service，而不是Kind： Gateway。

我看了这个：https://istio.io/latest/docs/tasks/traffic-management/ingress/secure-ingress/但是，本教程只描述了如何将证书应用于网关类型，而不是服务类型。

将SSL证书应用于入口网关服务的正确方法是什么，或者有更好的方法吗？

Istio简介YAML

谢谢你的帮助！

编辑：问题解决了。

昨晚，在尝试创建clusterIssuer并安装cert manager等之后，我重新阅读了教程，结果很差（由于某种原因，证书从未被证书颁发机构接受，所以我只有密钥文件和空证书文件）。最终，创建自己的证书变得更加容易。

问题是，当我只需要指向试图从网关发送流量的服务端口时，我正在引用虚拟服务中的TLS端口。

这篇文章帮助我更好地理解了：安全入口-Istio通过示例以及我已经在上面链接的官方Istio安全入口教程。

从那里我创建了一个新的秘密，运行了一个创建工作证书的脚本（基本上只是一个遵循Istio教程步骤的bash脚本），然后确保我的网关文件中的凭据名称与我创建的新秘密匹配。

Answer 1

我建议你只需遵循下面提到的步骤-

使用基于掌舵图的步骤从这里安装cert manager

你可以跟随这篇文章

请注意-您不需要在这里创建tls秘密，证书管理器将根据证书中提到的名称自动创建秘密，一旦您将秘密名称修补到TLS，证书管理器将执行顶点挑战，一旦成功，证书将获得就绪状态。

使用

cert-manager.io/v1alpha2

集群发行者中的api版本，如果只有上面提到的版本是不可接受的

Answer 2

有些概念有点混淆：

• 网关自定义资源将同时配置istio入口网关
• Kubernetes服务将创建一个外部可访问的IP

使用外部可访问的IP，流量将被发送到istio-ingress网关，在那里您的证书使用网关CR配置，您将拥有一个HTTPS连接。

Answer 3

当您部署istio安装程序时，它将创建

• 种类：服务，istio ingressgateway
• 种类：deployemnt、istio ingressgateway

然后你可以用https://istio.io/latest/docs/tasks/traffic-management/ingress/secure-ingress/，这将配置您的ssl。

• 类型：秘密，在命名空间：istio-system
• 类：网关，上面提到的秘密。
• 种：虚拟服务，链接到此网关，并指定。应用程序。