Как я могу установить сертификат SSL на балансировщик нагрузки aws в kubernetes?

Question

Я получил файл yaml для указания ssl-сертификата (предоставляемого менеджером сертификатов aws) для балансировщика нагрузки для развертывания kubernetes.Но мы запускаем кластер kubernetes в учетной записи AWS China, где опция диспетчера сертификации недоступна.Теперь, если у меня есть сертификат SSL, предоставленный Godaddy, как я могу его установить?Есть ли другие альтернативные способы установки сертификата, а не балансировки нагрузки?Могу ли я установить его в свой контейнер Tomcat и создать новый образ с ним?

Answer 1

Насколько я знаю, вы не можете настроить ELB, развернутый с kubernetes Service, чтобы использовать сертификат, который НЕ является сертификатом ACM.Фактически, если вы посмотрите на возможные аннотации здесь , вы увидите, что единственная доступная аннотация для выбора сертификата - service.beta.kubernetes.io/aws-load-balancer-ssl-cert, а документация для этой аннотации гласит следующее:

ServiceAnnotationLoadBalancerCertificate is the annotation used on the
service to request a secure listener. Value is a valid certificate ARN.
For more, see http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/elb-listener-config.html
CertARN is an IAM or CM certificate ARN, e.g. arn:aws:acm:us-east-1:123456789012:certificate/12345678-1234-1234-1234-123456789012

Как вы и просили, вы наверняка можете прекратить работу вашего ssl внутри вашего стручка kubernetes и сделать ELB простым прокси-сервером TCP.

Для этого вам нужно добавить следующую аннотацию к вашемуService manifest:

service.beta.kubernetes.io/aws-load-balancer-backend-protocol: 'tcp'

Кроме того, вам нужно будет перенаправить оба порта http и https для правильной обработки перенаправления http на https внутри вашего модуля.

Если вам нужно большеконкретная помощь, пожалуйста, отправьте вам текущий манифест.