6.3. 根据每个路由启用 HTTP 严格传输安全性
HTTP 严格传输安全 (HSTS) 实施在 HAProxy 模板中，并应用到具有 haproxy.router.openshift.io/hsts_header 注解的边缘和重新加密路由。
先决条件
- 有对集群的 root 访问权限。
-
已安装 OpenShift CLI（
oc）。
流程
要在路由上启用 HSTS，请将
haproxy.router.openshift.io/hsts_header值添加到 edge-terminated 或 re-encrypt 路由中。您可以运行以下命令来使用oc annotate工具来实现此目的：$ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=31536000;\ 1 includeSubDomains;preload"- 1
- 在本例中，最长期限设置为
31536000ms，大约为 8.5 小时。
注意在这个示例中，等号 (
=) 包括在引号里。这是正确执行注解命令所必需的。配置了注解的路由示例
apiVersion: route.openshift.io/v1 kind: Route metadata: annotations: haproxy.router.openshift.io/hsts_header: max-age=31536000;includeSubDomains;preload 1 2 3 ... spec: host: def.abc.com tls: termination: "reencrypt" ... wildcardPolicy: "Subdomain"- 1
- 必需。
Max-age测量 HSTS 策略生效的时间长度，以秒为单位。如果设置为0，它将对策略进行求反。 - 2
- 可选。包含时，
includeSubDomains告知客户端主机的所有子域都必须与主机具有相同的 HSTS 策略。 - 3
- 可选。当
max-age大于 0 时，您可以在haproxy.router.openshift.io/hsts_header中添加preload，以允许外部服务将这个站点包括在 HSTS 预加载列表中。例如，Google 等站点可以构造设有preload的站点的列表。浏览器可以使用这些列表来确定哪些站点可以通过 HTTPS 通信，即使它们与站点交互之前也是如此。如果没有设置preload，浏览器必须已经通过 HTTPS 与站点交互（至少一次）才能获取标头。
6.3.1. 根据每个路由禁用 HTTP 严格传输安全性
要禁用 HTTP 严格传输安全性 (HSTS)，您可以将路由注解中的 max-age 值设置为 0。
先决条件
- 有对集群的 root 访问权限。
-
已安装 OpenShift CLI（
oc）。
流程
要禁用 HSTS，请输入以下命令将路由注解中的
max-age值设置为0：$ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"
提示您还可以应用以下 YAML 来创建配置映射：
根据每个路由禁用 HSTS 的示例
metadata: annotations: haproxy.router.openshift.io/hsts_header: max-age=0要为命名空间中的所有路由禁用 HSTS，请输入以下命令：
$ oc annotate route --all -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"
验证
要查询所有路由的注解，请输入以下命令：
$ oc get route --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'输出示例
Name: routename HSTS: max-age=0
6.3.2. 强制每个域 HTTP 严格传输安全性
您可以使用兼容 HSTS 策略注解配置路由。要使用不合规的 HSTS 路由处理升级的集群，您可以在源更新清单并应用更新。
您不能使用 oc expose route 或 oc create route 命令在强制 HSTS 的域中添加路由，因为这些命令的 API 不接受注解。
HSTS 无法应用到不安全或非 TLS 路由。
先决条件
- 有对集群的 root 访问权限。
-
已安装 OpenShift CLI（
oc）。
流程
运行以下
oc annotate command将 HSTS 应用到集群中的所有路由：$ oc annotate route --all --all-namespaces --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=31536000;preload;includeSubDomains"
通过运行以下
oc annotate 命令，将 HSTS 应用到特定命名空间中的所有路由：$ oc annotate route --all -n <my_namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=31536000;preload;includeSubDomains" 1
- 1
- 将
<my_namespace> 替换为您要使用的命名空间。
验证
运行以下命令，查看所有路由上的 HSTS 注解：
$ oc get route --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'输出示例
Name: <_routename_> HSTS: max-age=31536000;preload;includeSubDomains
