9.9. 使用 Red Hat OpenShift 的 cert-manager Operator 保护路由

流程

1. 运行以下命令，使用边缘 TLS 终止和自定义主机名为 Service 资源创建 Route 资源。在以下步骤中创建一个 Certificate 资源时将使用主机名。

   $ oc create route edge <route_name> \ 1
     --service=<service_name> \ 2
     --hostname=<hostname> \ 3
     --namespace=<namespace> 4

   1

   指定路由的名称。

   2

   指定您要公开的服务。

   3

   指定路由的主机名。

   4

   指定路由所在的命名空间。

2. 运行以下命令，创建一个 Issuer 来配置 HTTP-01 solver。有关其他 ACME 签发者类型，请参阅"配置 ACME 签发者"。

   Issuer.yaml 文件示例

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: letsencrypt-acme
     namespace: <namespace> 1
   spec:
     acme:
       server: https://acme-v02.api.letsencrypt.org/directory
       privateKeySecretRef:
         name: letsencrypt-acme-account-key
       solvers:
         - http01:
             ingress:
               ingressClassName: openshift-default
   EOF

   1

   指定 Issuer 所在的命名空间。它应与您的路由的命名空间相同。

3. 运行以下命令，为路由创建 Certificate 对象。secretName 指定将由 cert-manager 发布和管理的 TLS secret，并在下一步中在路由中引用。

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: example-route-cert
     namespace: <namespace> 1
   spec:
     commonName: <hostname> 2
     dnsNames:
       - <hostname> 3
     usages:
       - server auth
     issuerRef:
       kind: Issuer
       name: letsencrypt-acme
     secretName: <secret_name> 4
   EOF

   1

   指定 Certificate 资源所在的命名空间。它应与您的路由的命名空间相同。

   2

   使用路由的主机名指定证书的通用名称。

   3

   将路由的主机名添加到证书的 DNS 名称。

   4

   指定包含证书的 secret 名称。

4. 使用以下命令，创建一个 Role 来提供路由器服务帐户权限来读取引用的 secret：

   $ oc create role secret-reader \
     --verb=get,list,watch \
     --resource=secrets \
     --resource-name=<secret_name> \ 1
     --namespace=<namespace> 2

   1

   指定要授予访问权限的 secret 的名称。它应该与您的在 Certificate 资源中指定的 secretName 一致。

   2

   指定 secret 和路由所在的命名空间。

5. 使用以下命令，创建一个 RoleBinding 资源，将 router 服务帐户与新创建的 Role 资源绑定：

   $ oc create rolebinding secret-reader-binding \
     --role=secret-reader \
     --serviceaccount=openshift-ingress:router \
     --namespace=<namespace> 1

   1

   指定 secret 和路由所在的命名空间。

6. 更新路由的 .spec.tls.externalCertificate 字段来引用之前创建的 secret，并使用 cert-manager 发布的证书：

   $ oc patch route <route_name> \ 1
     -n <namespace> \ 2
     --type=merge \
     -p '{"spec":{"tls":{"externalCertificate":{"name":"<secret_name>"}}}}' 3

   1

   指定路由名称。

   2

   指定 secret 和路由所在的命名空间。

   3

   指定包含证书的 secret 名称。