10.2.3. 使用 TLS 证书使用自定义域保护服务

流程

1. 创建 Kubernetes TLS secret：

   $ oc create secret tls <tls_secret_name> --cert=<path_to_certificate_file> --key=<path_to_key_file>

2. 如果您使用 Red Hat OpenShift Service Mesh 作为 OpenShift Serverless 安装的 ingress，请使用以下内容标记 Kubernetes TLS secret：

   “networking.internal.knative.dev/certificate-uid": “<value>”

   如果使用第三方 secret 供应商（如 cert-manager），您可以配置 secret manager 来自动标记 Kubernetes TLS secret。cert-manager 用户可以使用提供的 secret 模板自动生成带有正确标签的 secret。在本例中，secret 过滤仅基于键，但这个值可以存储有用的信息，如 secret 包含的证书 ID。

   注意

   {cert-manager-operator} 是一个技术预览功能。如需更多信息，请参阅安装 {cert-manager-operator} 文档。

3. 更新 DomainMapping CR，以使用您创建的 TLS secret：

   apiVersion: serving.knative.dev/v1alpha1
   kind: DomainMapping
   metadata:
     name: <domain_name>
     namespace: <namespace>
   spec:
     ref:
       name: <service_name>
       kind: Service
       apiVersion: serving.knative.dev/v1
   # TLS block specifies the secret to be used
     tls:
       secretName: <tls_secret_name>

验证

1. 验证 DomainMapping CR 状态是否为 True，输出中的 URL 列显示了使用 scheme https 的映射域：

   $ oc get domainmapping <domain_name>

   输出示例

   NAME                      URL                               READY   REASON
   example.com               https://example.com               True

2. 可选： 如果服务公开，请运行以下命令验证该服务是否可用：

   $ curl https://<domain_name>

   如果证书是自签名的，请通过在 curl 命令中添加 -k 标志来跳过验证。