在nginx Ingress Controller上替换Kubernetes Ingress Controller Fake证书Fake

Question

我们正在GKE上的k8s集群上运行一个应用程序。

我们正在使用一个nginx入口控制器作为外部负载平衡器服务，比如说，https://12.345.67.98 . 我们面临的一个问题是，当我们直接访问上述URL上的负载平衡器时，我们会收到一个证书警告，因为使用了自签名的“Kubernetes入口控制器假证书”。

我们只有将我们的域（例如app.our company.com）映射到Kubernetes服务的入口对象。nginx负载平衡器是一种负载平衡器类型的Kubernetes服务。对于我们域的SSL/TLS，使用证书管理器。只有当我们直接访问IP地址上的负载平衡器时，访问这些域才没有问题。

有没有办法以某种方式替换负载平衡器上的证书，使其不再使用默认的假证书？

Answer 1

您可以在安装Ingress Controller helm期间覆盖默认SSL证书。裁判：https://github.com/kubernetes/ingress-nginx/blob/main/charts/ingress-nginx/values.yaml

  ## Additional command line arguments to pass to nginx-ingress-controller
  ## E.g. to specify the default SSL certificate you can use
  ## extraArgs:
  ##   default-ssl-certificate: "<namespace>/<secret_name>"
  extraArgs: {}

Answer 2

您需要使用CA签名的证书和私钥定义一个秘密。这些必须在机密中进行base64编码。然后，您将在入口清单的“tls”部分使用此机密。

确保证书链（cert-

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: nginx-test
spec:
  tls:
    - hosts:
      - foo.bar.com
      # This assumes tls-secret exists and the SSL
      # certificate contains a CN for foo.bar.com
      secretName: tls-secret
  rules:
    - host: foo.bar.com
      http:
        paths:
        - path: /
          backend:
            # This assumes http-svc exists and routes to healthy endpoints
            serviceName: http-svc
            servicePort: 80

工具书类