12.6. 使用 TLS 证书保护映射的服务
12.6.1. 使用 TLS 证书保护带有自定义域的服务
为 Knative 服务配置了自定义域后，您可以使用 TLS 证书来保护映射的服务。要做到这一点，您必须创建一个 Kubernetes TLS secret，然后更新 DomainMapping CR 以使用您创建的 TLS secret。
先决条件
-
为 Knative 服务配置了自定义域，并有一个正常工作的
DomainMappingCR。 - 您有来自证书授权机构供应商或自签名证书的 TLS 证书。
-
您已从证书授权中心（CA）提供商或自签名证书获取
cert和key文件。 -
安装 OpenShift CLI (
oc) 。
流程
创建 Kubernetes TLS secret：
$ oc create secret tls <tls_secret_name> --cert=<path_to_certificate_file> --key=<path_to_key_file>
将
networking.internal.knative.dev/certificate-uid: <id>'标签添加到 Kubernetes TLS secret 中：$ oc label secret <tls_secret_name> networking.internal.knative.dev/certificate-uid="<id>"
如果使用第三方 secret 供应商（如 cert-manager），您可以配置 secret manager 来自动标记 Kubernetes TLS secret。cert-manager 用户可以使用提供的 secret 模板自动生成带有正确标签的 secret。在本例中，secret 过滤仅基于键，但这个值可以存储有用的信息，如 secret 包含的证书 ID。
注意Red Hat OpenShift 的 cert-manager Operator 只是一个技术预览功能。如需更多信息，请参阅 为 Red Hat OpenShift 安装 cert-manager Operator 文档。
更新
DomainMappingCR，以使用您创建的 TLS secret：apiVersion: serving.knative.dev/v1beta1 kind: DomainMapping metadata: name: <domain_name> namespace: <namespace> spec: ref: name: <service_name> kind: Service apiVersion: serving.knative.dev/v1 # TLS block specifies the secret to be used tls: secretName: <tls_secret_name>
验证
验证
DomainMappingCR 状态是否为True，输出中的URL列显示了使用 schemehttps的映射域：$ oc get domainmapping <domain_name>
输出示例
NAME URL READY REASON example.com https://example.com True
可选： 如果服务公开，请运行以下命令验证该服务是否可用：
$ curl https://<domain_name>
如果证书是自签名的，请通过在
curl命令中添加-k标志来跳过验证。
12.6.2. 使用 secret 过滤改进 net-kourier 内存用量
默认情况下，Kubernetes client-go 库的 informers 实施会获取特定类型的所有资源。当有很多资源可用时可能会导致大量开销。这可能会导致因为内存泄露的问题导致 Knative net-kourier ingress 控制器在大型集群中失败。但是，Knative net-kourier ingress 控制器提供了一个过滤机制，它可让控制器只获取 Knative 相关的 secret。
在 OpenShift Serverless Operator 端默认启用 secret 过滤。默认情况下，将环境变量 ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID=true 添加到 net-kourier 控制器 Pod 中。
如果启用 secret 过滤，则所有 secret 都需要使用 networking.internal.knative.dev/certificate-uid: "<id>"。否则，Knative Serving 不会检测到它们，这会导致失败。您必须标记新的和现有的 secret。
先决条件
- 在 OpenShift Container Platform 上具有集群管理员权限，或者对 Red Hat OpenShift Service on AWS 或 OpenShift Dedicated 有集群或专用管理员权限。
- 您创建的项目，或者具有创建应用程序和其他工作负载的角色和权限。
- 安装 OpenShift Serverless Operator 和 Knative Serving。
-
安装 OpenShift CLI (
oc) 。
您可以使用 KnativeServing 自定义资源(CR)中的 workload 字段将 ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID 变量设为 false 来禁用 secret 过滤。
KnativeServing CR 示例
apiVersion: operator.knative.dev/v1beta1
kind: KnativeServing
metadata:
name: knative-serving
namespace: knative-serving
spec:
...
workloads:
- env:
- container: controller
envVars:
- name: ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID
value: 'false'
name: net-kourier-controller
