4.5. External 和 Ingress 路由

流程

1. 创建包含您要传播到 OpenShift Container Platform 路由的标签或注解的 Knative 服务：

   • 使用 YAML 创建服务：

     使用 YAML 创建的服务示例

     apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: <service_name>
       labels:
         <label_name>: <label_value>
       annotations:
         <annotation_name>: <annotation_value>
     ...

   • 要使用 Knative (kn) CLI 创建服务，请输入：

     使用 kn 命令创建的服务示例

     $ kn service create <service_name> \
       --image=<image> \
       --annotation <annotation_name>=<annotation_value> \
       --label <label_value>=<label_value>

2. 通过检查以下命令的输出来验证 OpenShift Container Platform 路由是否已使用您添加的注解或标签创建：

   验证命令示例

   $ oc get routes.route.openshift.io \
        -l serving.knative.openshift.io/ingressName=<service_name> \ 1
        -l serving.knative.openshift.io/ingressNamespace=<service_namespace> \ 2
        -n knative-serving-ingress -o yaml \
            | grep -e "<label_name>: \"<label_value>\""  -e "<annotation_name>: <annotation_value>" 3

   1

   使用服务的名称。

   2

   使用创建服务的命名空间。

   3

   将您的值用于标签和注解名称和值。

流程

1. 创建包含 service.knative.openshift.io/disableRoute=true 注解的 Knative 服务：

   重要

   service.knative.openshift.io/disableRoute=true 注解指示 OpenShift Serverless 不自动为您创建路由。但是，该服务仍然会显示 URL 并达到 Ready 状态。除非使用与 URL 中主机名相同的主机名创建自己的路由，此 URL 才能在外部工作。

   1. 创建 Knative Service 资源：

      资源示例

      apiVersion: serving.knative.dev/v1
      kind: Service
      metadata:
        name: <service_name>
        annotations:
          serving.knative.openshift.io/disableRoute: "true"
      spec:
        template:
          spec:
            containers:
            - image: <image>
      ...

   2. 应用 Service 资源：

      $ oc apply -f <filename>

   3. 可选。使用 kn service create 命令创建 Knative 服务：

      kn 命令示例

      $ kn service create <service_name> \
        --image=gcr.io/knative-samples/helloworld-go \
        --annotation serving.knative.openshift.io/disableRoute=true

2. 验证没有为服务创建 OpenShift Container Platform 路由：

   示例命令

   $ $ oc get routes.route.openshift.io \
     -l serving.knative.openshift.io/ingressName=$KSERVICE_NAME \
     -l serving.knative.openshift.io/ingressNamespace=$KSERVICE_NAMESPACE \
     -n knative-serving-ingress

   您将看到以下输出：

   No resources found in knative-serving-ingress namespace.

3. 在 knative-serving-ingress 命名空间中创建 Route 资源：

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     annotations:
       haproxy.router.openshift.io/timeout: 600s 1
     name: <route_name> 2
     namespace: knative-serving-ingress 3
   spec:
     host: <service_host> 4
     port:
       targetPort: http2
     to:
       kind: Service
       name: kourier
       weight: 100
     tls:
       insecureEdgeTerminationPolicy: Allow
       termination: edge 5
       key: |-
         -----BEGIN PRIVATE KEY-----
         [...]
         -----END PRIVATE KEY-----
       certificate: |-
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
       caCertificate: |-
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE----
     wildcardPolicy: None

   1

   OpenShift Container Platform 路由的超时值。您必须设置与 max-revision-timeout-seconds 设置相同的值（默认为 600s ）。

   2

   OpenShift Container Platform 路由的名称。

   3

   OpenShift Container Platform 路由的命名空间。这必须是 knative-serving-ingress。

   4

   用于外部访问的主机名。您可以将其设置为 <service_name>-<service_namespace>.<domain>。

   5

   您要使用的证书。目前，只支持 边缘（edge） 终止。

4. 应用 Route 资源：

   $ oc apply -f <filename>

流程

1. 在 knative-serving-ingress 命名空间中部署服务器证书：

   $ export san="knative"

   注意

   需要主题备用名称(SAN)验证，以便这些证书能够向 <app_name>.<namespace>.svc.cluster.local 提供请求。

2. 生成 root 密钥和证书：

   $ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
       -subj '/O=Example/CN=Example' \
       -keyout ca.key \
       -out ca.crt

3. 生成使用 SAN 验证的服务器密钥：

   $ openssl req -out tls.csr -newkey rsa:2048 -nodes -keyout tls.key \
     -subj "/CN=Example/O=Example" \
     -addext "subjectAltName = DNS:$san"

4. 创建服务器证书：

   $ openssl x509 -req -extfile <(printf "subjectAltName=DNS:$san") \
     -days 365 -in tls.csr \
     -CA ca.crt -CAkey ca.key -CAcreateserial -out tls.crt

5. 为 Kourier 本地网关配置 secret：

   1. 从前面的步骤创建的证书，在 knative-serving-ingress 命名空间中部署 secret：

      $ oc create -n knative-serving-ingress secret tls server-certs \
          --key=tls.key \
          --cert=tls.crt --dry-run=client -o yaml | oc apply -f -

   2. 更新 KnativeServing 自定义资源 (CR) spec，以使用 Kourier 网关创建的 secret：

      KnativeServing CR 示例

      ...
      spec:
        config:
          kourier:
            cluster-cert-secret: server-certs
      ...

流程

1. 找到应用程序主机。请参阅验证无服务器应用程序部署中的相关内容。

2. 查找 ingress 网关的公共地址：

   $ oc -n knative-serving-ingress get svc kourier

   输出示例

   NAME                   TYPE           CLUSTER-IP      EXTERNAL-IP                                                             PORT(S)                                                                                                                                      AGE
   kourier   LoadBalancer   172.30.51.103   a83e86291bcdd11e993af02b7a65e514-33544245.us-east-1.elb.amazonaws.com   80:31380/TCP,443:31390/TCP   67m

   公共地址位于 EXTERNAL-IP 字段，在本例中是 a83e86291bcdd11e993af02b7a65e514-33544245.us-east-1.elb.amazonaws.com。

3. 手动在 HTTP 请求的主机标头中设置应用程序的主机，但将请求定向到 ingress 网关的公共地址。

   $ curl -H "Host: hello-default.example.com" a83e86291bcdd11e993af02b7a65e514-33544245.us-east-1.elb.amazonaws.com

   输出示例

   Hello Serverless!

   您还可以通过将授权设置为应用程序的主机来发出 gRPC 请求，同时将请求直接定向到 ingress 网关：

   grpc.Dial(
       "a83e86291bcdd11e993af02b7a65e514-33544245.us-east-1.elb.amazonaws.com:80",
       grpc.WithAuthority("hello-default.example.com:80"),
       grpc.WithInsecure(),
   )

   注意

   如上例所示，请确保将对应的端口（默认为 80）附加到两个主机中。