9.5. 集群本地可用性

流程

1. 在 knative-serving-ingress 命名空间中部署服务器证书：

   $ export san="knative"

   注意

   需要主题备用名称(SAN)验证，以便这些证书能够向 <app_name>.<namespace>.svc.cluster.local 提供请求。

2. 生成 root 密钥和证书：

   $ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
       -subj '/O=Example/CN=Example' \
       -keyout ca.key \
       -out ca.crt

3. 生成使用 SAN 验证的服务器密钥：

   $ openssl req -out tls.csr -newkey rsa:2048 -nodes -keyout tls.key \
     -subj "/CN=Example/O=Example" \
     -addext "subjectAltName = DNS:$san"

4. 创建服务器证书：

   $ openssl x509 -req -extfile <(printf "subjectAltName=DNS:$san") \
     -days 365 -in tls.csr \
     -CA ca.crt -CAkey ca.key -CAcreateserial -out tls.crt

5. 为 Kourier 本地网关配置 secret：

   1. 从前面的步骤创建的证书，在 knative-serving-ingress 命名空间中部署 secret：

      $ oc create -n knative-serving-ingress secret tls server-certs \
          --key=tls.key \
          --cert=tls.crt --dry-run=client -o yaml | oc apply -f -

   2. 更新 KnativeServing 自定义资源 (CR) spec，以使用 Kourier 网关创建的 secret：

      KnativeServing CR 示例

      ...
      spec:
        config:
          kourier:
            cluster-cert-secret: server-certs
      ...