10.3. 为 Knative 服务配置自定义域
Knative 服务会自动根据集群配置分配默认域名。例如，<service_name>-<namespace>.example.com。您可以通过将您自己的自定义域名映射到 Knative 服务来自定义 Knative 服务域。
您可以通过为服务创建 DomainMapping 资源来完成此操作。您还可以创建多个 DomainMapping 资源，将多个域和子域映射到单个服务。
10.3.1. 创建自定义域映射
您可以通过将您自己的自定义域名映射到 Knative 服务来自定义 Knative 服务域。要将自定义域名映射到自定义资源（CR），您必须创建一个映射到可寻址目标 CR 的 DomainMapping CR，如 Knative 服务或 Knative 路由。
先决条件
- 在集群中安装了 OpenShift Serverless Operator 和 Knative Serving。
-
安装 OpenShift CLI (
oc) 。 - 您已创建了一个项目，或者具有适当的角色和权限访问项目，以便在 OpenShift Container Platform 中创建应用程序和其他工作负载。
您已创建了 Knative 服务，并控制要映射到该服务的自定义域。
注意您的自定义域必须指向 OpenShift Container Platform 集群的 IP 地址。
流程
在与您要映射的目标 CR 相同的命名空间中创建一个包含
DomainMappingCR 的 YAML 文件：apiVersion: serving.knative.dev/v1alpha1 kind: DomainMapping metadata: name: <domain_name> 1 namespace: <namespace> 2 spec: ref: name: <target_name> 3 kind: <target_type> 4 apiVersion: serving.knative.dev/v1
服务域映射示例
apiVersion: serving.knative.dev/v1alpha1 kind: DomainMapping metadata: name: example.com namespace: default spec: ref: name: example-service kind: Service apiVersion: serving.knative.dev/v1
路由域映射示例
apiVersion: serving.knative.dev/v1alpha1 kind: DomainMapping metadata: name: example.com namespace: default spec: ref: name: example-route kind: Route apiVersion: serving.knative.dev/v1
将
DomainMappingCR 应用为 YAML 文件：$ oc apply -f <filename>
10.3.2. 使用 Knative CLI 创建自定义域映射
您可以通过将您自己的自定义域名映射到 Knative 服务来自定义 Knative 服务域。您可以使用 Knative (kn) CLI 创建映射到可寻址目标 CR 的 DomainMapping 自定义资源 (CR) ，如 Knative 服务或 Knative 路由。
先决条件
- 在集群中安装了 OpenShift Serverless Operator 和 Knative Serving。
您已创建了 Knative 服务或路由，并控制要映射到该 CR 的自定义域。
注意您的自定义域必须指向 OpenShift Container Platform 集群的 DNS。
-
已安装 Knative (
kn) CLI。 - 您已创建了一个项目，或者具有适当的角色和权限访问项目，以便在 OpenShift Container Platform 中创建应用程序和其他工作负载。
流程
将域映射到当前命名空间中的 CR：
$ kn domain create <domain_mapping_name> --ref <target_name>
示例命令
$ kn domain create example.com --ref example-service
--ref标志为域映射指定一个可寻址的目标 CR。如果使用
--ref标志时没有提供前缀，则会假定目标为当前命名空间中的 Knative 服务。将域映射到指定命名空间中的 Knative 服务：
$ kn domain create <domain_mapping_name> --ref <ksvc:service_name:service_namespace>
示例命令
$ kn domain create example.com --ref ksvc:example-service:example-namespace
将域映射到 Knative 路由：
$ kn domain create <domain_mapping_name> --ref <kroute:route_name>
示例命令
$ kn domain create example.com --ref kroute:example-route
10.3.3. 使用 TLS 证书保护带有自定义域的服务
为 Knative 服务配置了自定义域后，您可以使用 TLS 证书来保护映射的服务。要做到这一点，您必须创建一个 Kubernetes TLS secret，然后更新 DomainMapping CR 以使用您创建的 TLS secret。
如果您将 net-istio 用于 Ingress，并使用 security.dataPlane.mtls: true 通过 SMCP 启用 mTLS，Service Mesh 为 *.local 主机部署 DestinationRule，这代表不允许对 OpenShift Serverless 使用 DomainMapping。
要临时解决这个问题，部署 PeerAuthentication 来启用 mTLS，而不是使用 security.dataPlane.mtls: true。
先决条件
-
为 Knative 服务配置了自定义域，并有一个正常工作的
DomainMappingCR。 - 您有来自证书授权机构供应商或自签名证书的 TLS 证书。
-
您已从证书授权中心（CA）提供商或自签名证书获取
cert和key文件。 -
安装 OpenShift CLI (
oc) 。
流程
创建 Kubernetes TLS secret：
$ oc create secret tls <tls_secret_name> --cert=<path_to_certificate_file> --key=<path_to_key_file>
如果您使用 Red Hat OpenShift Service Mesh 作为 OpenShift Serverless 安装的 ingress，请使用以下内容标记 Kubernetes TLS secret：
“networking.internal.knative.dev/certificate-uid": “<value>”
如果使用第三方 secret 供应商（如 cert-manager），您可以配置 secret manager 来自动标记 Kubernetes TLS secret。cert-manager 用户可以使用提供的 secret 模板自动生成带有正确标签的 secret。在本例中，secret 过滤仅基于键，但这个值可以存储有用的信息，如 secret 包含的证书 ID。
注意{cert-manager-operator} 是一个技术预览功能。如需更多信息，请参阅安装 {cert-manager-operator} 文档。
更新
DomainMappingCR，以使用您创建的 TLS secret：apiVersion: serving.knative.dev/v1alpha1 kind: DomainMapping metadata: name: <domain_name> namespace: <namespace> spec: ref: name: <service_name> kind: Service apiVersion: serving.knative.dev/v1 # TLS block specifies the secret to be used tls: secretName: <tls_secret_name>
验证
验证
DomainMappingCR 状态是否为True，输出中的URL列显示了使用 schemehttps的映射域：$ oc get domainmapping <domain_name>
输出示例
NAME URL READY REASON example.com https://example.com True
可选： 如果服务公开，请运行以下命令验证该服务是否可用：
$ curl https://<domain_name>
如果证书是自签名的，请通过在
curl命令中添加-k标志来跳过验证。
