8.6. 使用 TLS 证书保护映射的服务

流程

1. 创建 Kubernetes TLS secret：

   $ oc create secret tls <tls_secret_name> --cert=<path_to_certificate_file> --key=<path_to_key_file>

2. 将 networking.internal.knative.dev/certificate-uid: <id>' 标签添加到 Kubernetes TLS secret 中：

   $ oc label secret <tls_secret_name> networking.internal.knative.dev/certificate-uid="<id>"

   如果使用第三方 secret 供应商（如 cert-manager），您可以配置 secret manager 来自动标记 Kubernetes TLS secret。cert-manager 用户可以使用提供的 secret 模板自动生成带有正确标签的 secret。在本例中，secret 过滤仅基于键，但这个值可以存储有用的信息，如 secret 包含的证书 ID。

   注意

   Red Hat OpenShift 的 cert-manager Operator 只是一个技术预览功能。如需更多信息，请参阅 为 Red Hat OpenShift 安装 cert-manager Operator 文档。

3. 更新 DomainMapping CR，以使用您创建的 TLS secret：

   apiVersion: serving.knative.dev/v1alpha1
   kind: DomainMapping
   metadata:
     name: <domain_name>
     namespace: <namespace>
   spec:
     ref:
       name: <service_name>
       kind: Service
       apiVersion: serving.knative.dev/v1
   # TLS block specifies the secret to be used
     tls:
       secretName: <tls_secret_name>

验证

1. 验证 DomainMapping CR 状态是否为 True，输出中的 URL 列显示了使用 scheme https 的映射域：

   $ oc get domainmapping <domain_name>

   输出示例

   NAME                      URL                               READY   REASON
   example.com               https://example.com               True

2. 可选： 如果服务公开，请运行以下命令验证该服务是否可用：

   $ curl https://<domain_name>

   如果证书是自签名的，请通过在 curl 命令中添加 -k 标志来跳过验证。