Usa tus propios certificados TLS

En esta página, se describe cómo configurar Cloud Run for Anthos para usar tu propio certificado SSL/TLS, en casos en los que no deseas usar la función de certificados TLS administrados.

La puerta de enlace de entrada de Istio puede admitir el protocolo TLS que se proporciona desde tu certificado después de almacenarlo en un Secret de Kubernetes y detallarlo en la especificación de la puerta de enlace de entrada de Istio.

Antes de comenzar

En estas instrucciones, se da por sentado que ya tienes tus propios certificados TLS.

Almacena el certificado TLS o la clave privada en un Secret de Kubernetes

Para almacenar los certificados en un Secret, haz lo siguiente:

1. Copia los certificados en el directorio actual.

2. Usa el siguiente comando para crear un Secret que almacene los certificados, en el que privkey.pem contiene la clave privada del certificado y fullchain.pem contiene el certificado público:

   kubectl create --namespace gke-system secret tls SECRET_NAME \
     --key privkey.pem \
     --cert fullchain.pem

Especifica el certificado TLS para la puerta de enlace de entrada de Istio

Modifica la especificación de la puerta de enlace de entrada de Istio para usar el Secret de Kubernetes que contiene tu certificado TLS:

1. Abre la especificación de la puerta de enlace compartida para editarla:

   kubectl edit gateway gke-system-gateway --namespace knative-serving

2. Para especificar el certificado TLS con el Secret que creaste antes, agrega la siguiente sección a la especificación de la puerta de enlace:

   - hosts:
     - "*"
     port:
       name: https
       number: 443
       protocol: HTTPS
     tls:
       mode: SIMPLE
       credentialName: SECRET_NAME
   

   La especificación de la puerta de enlace debe verse de la siguiente manera:

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
   # ... skipped ...
   spec:
     selector:
       istio: ingressgateway
     servers:
       - hosts:
         - "*"
         port:
           name: http
           number: 80
           protocol: HTTP
       - hosts:
         - "*"
         port:
           name: https
           number: 443
           protocol: HTTPS
         tls:
           mode: SIMPLE
           credentialName: SECRET_NAME
   

   Si agregas varios certificados TLS para dos servicios diferentes en espacios de nombres distintos, la especificación de la puerta de enlace podría tener el siguiente aspecto:

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
   # ... skipped ...
   spec:
     selector:
       istio: ingressgateway
     servers:
     - hosts:
       - "*"
       port:
         name: http
         number: 80
         protocol: HTTP
     - port:
         number: 443
         name: https-SERVICE1_NAME
         protocol: HTTPS
       tls:
         mode: SIMPLE
         credentialName: SECRET1_NAME
       hosts:
       - SERVICE1_NAME.NAMESPACE1.example.com
     - port:
         number: 443
         name: https-SERVICE2_NAME
         protocol: HTTPS
       tls:
         mode: SIMPLE
         credentialName: SECRET2_NAME
       hosts:
       - SERVICE2_NAME.NAMESPACE2.example.com
   

3. Guarda los cambios.

Después de realizar este cambio, puedes usar el protocolo HTTPS para acceder a los servicios implementados.