2.13.6. Service Mesh と cert-manager および istio-csr の統合について

手順

1. ルートクラスターの発行者を作成します。

   1. 次の例のように cluster-issuer オブジェクトを作成します。

      cluster-issuer.yaml の例

      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: selfsigned-root-issuer
        namespace: cert-manager
      spec:
        selfSigned: {}
      ---
      apiVersion: cert-manager.io/v1
      kind: Certificate
      metadata:
        name: root-ca
        namespace: cert-manager
      spec:
        isCA: true
        duration: 21600h # 900d
        secretName: root-ca
        commonName: root-ca.my-company.net
        subject:
          organizations:
          - my-company.net
        issuerRef:
          name: selfsigned-root-issuer
          kind: Issuer
          group: cert-manager.io
      ---
      apiVersion: cert-manager.io/v1
      kind: ClusterIssuer
      metadata:
        name: root-ca
      spec:
        ca:
          secretName: root-ca

      注記

      root-ca がクラスター発行者であるため、selfsigned-root-issuer の発行者と root-ca 証明書の namespace は cert-manager です。そのため、cert-manager は参照されるシークレットを独自の namespace で検索します。Red Hat OpenShift の cert-manager Operator の場合、namespace の名前は cert-manager です。

   2. 次のコマンドを使用してオブジェクトを作成します。

      $ oc apply -f cluster-issuer.yaml

   3. 次の例のように istio-ca オブジェクトを作成します。

      istio-ca.yaml の例

      apiVersion: cert-manager.io/v1
      kind: Certificate
      metadata:
        name: istio-ca
        namespace: istio-system
      spec:
        isCA: true
        duration: 21600h
        secretName: istio-ca
        commonName: istio-ca.my-company.net
        subject:
          organizations:
          - my-company.net
        issuerRef:
          name: root-ca
          kind: ClusterIssuer
          group: cert-manager.io
      ---
      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: istio-ca
        namespace: istio-system
      spec:
        ca:
          secretName: istio-ca

   4. 次のコマンドを使用してオブジェクトを作成します。

      $ oc apply -n istio-system -f istio-ca.yaml

2. istio-csr をインストールします。

   $ helm install istio-csr jetstack/cert-manager-istio-csr \
       -n istio-system \
       -f deploy/examples/cert-manager/istio-csr/istio-csr.yaml

   istio-csr.yaml の例

   replicaCount: 2
   
   image:
     repository: quay.io/jetstack/cert-manager-istio-csr
     tag: v0.6.0
     pullSecretName: ""
   
   app:
     certmanager:
       namespace: istio-system
       issuer:
         group: cert-manager.io
         kind: Issuer
         name: istio-ca
   
     controller:
       configmapNamespaceSelector: "maistra.io/member-of=istio-system"
       leaderElectionNamespace: istio-system
   
     istio:
       namespace: istio-system
       revisions: ["basic"]
   
     server:
       maxCertificateDuration: 5m
   
     tls:
       certificateDNSNames:
       # This DNS name must be set in the SMCP spec.security.certificateAuthority.cert-manager.address
       - cert-manager-istio-csr.istio-system.svc

3. SMCP をデプロイメントします。

   $ oc apply -f mesh.yaml -n istio-system

   例 mesh.yaml

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: basic
   spec:
     addons:
       grafana:
         enabled: false
       kiali:
         enabled: false
       prometheus:
         enabled: false
     proxy:
       accessLogging:
         file:
           name: /dev/stdout
     security:
       certificateAuthority:
         cert-manager:
           address: cert-manager-istio-csr.istio-system.svc:443
         type: cert-manager
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     tracing:
       type: None
   ---
   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
   spec:
     members:
     - httpbin
     - sleep

1. HTTP アプリと sleep アプリをデプロイします。

   $ oc new-project <namespace>

   $ oc apply -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/httpbin/httpbin.yaml

   $ oc apply -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/sleep/sleep.yaml

2. sleep が httpbin サービスにアクセスできることを確認します。

   $ oc exec "$(oc get pod -l app=sleep -n <namespace> \
      -o jsonpath={.items..metadata.name})" -c sleep -n <namespace> -- \
      curl http://httpbin.<namespace>:8000/ip -s -o /dev/null \
      -w "%{http_code}\n"

   出力例

   200

3. Ingress ゲートウェイから httpbin サービスへの mTLS トラフィックを確認します。

   $ oc apply -n <namespace> -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/httpbin/httpbin-gateway.yaml

4. istio-ingressgateway ルートを取得します。

   INGRESS_HOST=$(oc -n istio-system get routes istio-ingressgateway -o jsonpath='{.spec.host}')

5. Ingress ゲートウェイから httpbin サービスへの mTLS トラフィックを確認します。

   $ curl -s -I http://$INGRESS_HOST/headers -o /dev/null -w "%{http_code}" -s