1.2. 保护路由

验证

1. 要查询所有路由的注解，请输入以下命令：

   $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

   Copy to Clipboard Toggle word wrap

   输出示例

   Name: routename HSTS: max-age=0

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令来编辑 Ingress 配置 YAML，并根据需要更新字段：

   $ oc edit ingresses.config.openshift.io/cluster

   Copy to Clipboard Toggle word wrap

   HSTS 策略示例

   apiVersion: config.openshift.io/v1
   kind: Ingress
   metadata:
     name: cluster
   spec:
     domain: 'hello-openshift-default.apps.username.devcluster.openshift.com'
     requiredHSTSPolicies: 

   1

   
     - domainPatterns: 

   2

   
       - '*hello-openshift-default.apps.username.devcluster.openshift.com'
       - '*hello-openshift-default2.apps.username.devcluster.openshift.com'
       namespaceSelector: 

   3

   
         matchLabels:
           myPolicy: strict
       maxAge: 

   4

   
         smallestMaxAge: 1
         largestMaxAge: 31536000
       preloadPolicy: RequirePreload 

   5

   
       includeSubDomainsPolicy: RequireIncludeSubDomains 

   6

   
     - domainPatterns:
       - 'abc.example.com'
       - '*xyz.example.com'
       namespaceSelector:
         matchLabels: {}
       maxAge: {}
       preloadPolicy: NoOpinion
       includeSubDomainsPolicy: RequireNoIncludeSubDomains

   Copy to Clipboard Toggle word wrap

   1

   必需。requiredHSTSPolicies 会被按顺序验证，并应用第一个匹配的 domainPatterns。

   2

   必需。您必须至少指定一个 domainPatterns 主机名。可以列出任意数量的域。您可以为不同的 domainPatterns 包括多个强制选项部分。

   3

   可选。如果包含 namespaceSelector，它必须与路由所在项目的标签匹配，以便在路由上强制执行设定 HSTS 策略。仅与 namespaceSelector 而不是 domainPatterns 匹配的路由不会被验证。

   4

   必需。Max-age 测量 HSTS 策略生效的时间长度，以秒为单位。此策略设置允许强制实施最小和最大的 max-age。

   • largestMaxAge 值必须在 0 到 2147483647 之间。它可以不指定，这意味着不强制实施上限。
   • smallestMaxAge 值必须在 0 到 2147483647 之间。输入 0 来禁用 HSTS 以进行故障排除，或者如果您不需要禁用 HSTS，输入 1。它可以不知道，这意味着不强制实施较低限制。

   5

   可选。在 haproxy.router.openshift.io/hsts_header 中包含 preload 会使外部服务将此站点包括在 HSTS 预加载列表中。浏览器可以使用这些列表来决定哪些站点可通过 HTTPS 进行通信，然后再与站点交互。如果没有设置 preload，浏览器需要至少与站点交互一次，才能获取该标头。可使用以下方法之一设置 preload ：

   • RequirePreload：RequiredHSTSPolicy 需要 preload。
   • RequireNoPreload:preload 被 RequiredHSTSPolicy 禁止。
   • NoOpinion：preload 与 RequiredHSTSPolicy 没有关系。

   6

   可选。includeSubDomainsPolicy 可使用以下之一设置：

   • RequireIncludeSubDomains: RequiredHSTSPolicy 需要 includeSubDomains。
   • RequireNoIncludeSubDomains: includeSubDomains 被 RequiredHSTSPolicy 禁止。
   • NoOpinion : includeSubDomains 与 RequiredHSTSPolicy 没有关系。

2. 您可以通过输入 oc annotate command，将 HSTS 应用到集群或特定命名空间中的所有路由。

   • 要将 HSTS 应用到集群中的所有路由，请输入 oc annotate command。例如：

     $ oc annotate route --all --all-namespaces --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=31536000"

     Copy to Clipboard Toggle word wrap

   • 要将 HSTS 应用到特定命名空间中的所有路由，请输入 oc annotate command。例如：

     $ oc annotate route --all -n my-namespace --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=31536000"

     Copy to Clipboard Toggle word wrap