1.2. 保护路由

前提条件

• 您可以使用具有项目的管理员特权的用户登陆到集群。
• 已安装 OpenShift CLI（oc）。

流程

• 要在路由上启用 HSTS，请将 haproxy.router.openshift.io/hsts_header 值添加到 edge-terminated 或 re-encrypt 路由中。您可以运行以下命令来使用 oc annotate 工具来实现此目的：要正确运行，请确保 haproxy.router.openshift.io/hsts_header 路由注解中的分号(;)也用双引号("")括起来。

  将最长期限设置为 31536000 ms 的 annotate 命令示例（大约 8.5 小时）

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header=max-age=31536000;\
  includeSubDomains;preload"

  配置了注解的路由示例

  apiVersion: route.openshift.io/v1
  kind: Route
  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=31536000;includeSubDomains;preload 

  1

  2

  3

  
  # ...
  spec:
    host: def.abc.com
    tls:
      termination: "reencrypt"
      ...
    wildcardPolicy: "Subdomain"
  # ...

  1

  必需。Max-age 测量 HSTS 策略生效的时间长度，以秒为单位。如果设置为 0，它将对策略进行求反。

  2

  可选。包含时，includeSubDomains 告知客户端主机的所有子域都必须与主机具有相同的 HSTS 策略。

  3

  可选。当 max-age 大于 0 时，您可以在 haproxy.router.openshift.io/hsts_header 中添加 preload，以允许外部服务将这个站点包括在 HSTS 预加载列表中。例如，Google 等站点可以构造设有 preload 的站点的列表。浏览器可以使用这些列表来确定哪些站点可以通过 HTTPS 通信，即使它们与站点交互之前也是如此。如果没有设置 preload，浏览器必须已经通过 HTTPS 与站点交互（至少一次）才能获取标头。

前提条件

• 您可以使用具有项目的管理员特权的用户登陆到集群。
• 已安装 OpenShift CLI（oc）。

流程

• 要禁用 HSTS，请输入以下命令将路由注解中的 max-age 值设置为 0 ：

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

  提示

  您还可以应用以下 YAML 来创建配置映射：

  根据每个路由禁用 HSTS 的示例

  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=0

• 要为命名空间中的所有路由禁用 HSTS，请输入以下命令：

  $ oc annotate route --all -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

验证

• 要查询所有路由的注解，请输入以下命令：

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  输出示例

  Name: routename HSTS: max-age=0

前提条件

• 您可以使用具有项目的管理员特权的用户登陆到集群。
• 已安装 OpenShift CLI（oc）。

• 要查看所需的 HSTS 策略的 maxAge 设置，请输入以下命令：

  $ oc get clusteroperator/ingress -n openshift-ingress-operator -o jsonpath='{range .spec.requiredHSTSPolicies[*]}{.spec.requiredHSTSPolicies.maxAgePolicy.largestMaxAge}{"\n"}{end}'

• 要查看所有路由上的 HSTS 注解，请输入以下命令：

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  输出示例

  Name: <_routename_> HSTS: max-age=31536000;preload;includeSubDomains