本主题介绍了如何在 ingressgateway 上启用单向 TLS 和 mTLS。
配置单向 TLS
使用单向 TLS 来保护入站流量网关上的 API 代理端点。如需启用单向 TLS,可使用 TLS 证书/密钥对或使用 Kubernetes Secret 配置 Ingress,如以下方法中所述。
方法 1:密钥/证书对
在替换文件的 virtualhosts
属性中提供 SSL 证书和密钥文件:
virtualhosts:
- name: $ENVIRONMENT_GROUP_NAME
sslCertPath: "$CERT_FILE"
sslKeyPath: "$KEY_FILE"
其中 $ENVIRONMENT_GROUP_NAME 是具有相应主机别名的环境组的名称,$CERT_FILE 和 $KEY_FILE 是 TLS 密钥和证书文件。请参阅创建 TLS 证书。
方法 2:Kubernetes Secret
创建一个 Kubernetes Secret 并将其添加到替换文件中。
- 使用以下两个命名空间之一创建此 Secret:
apigee
命名空间(如果您使用的是 Apigee 入站流量网关)。istio-system
命名空间(如果您使用的是客户安装的 Anthos Service Mesh)。
Apigee 入站流量网关
kubectl create -n apigee secret generic $SECRET_NAME \ --from-file=key=$KEY_FILE \ --from-file=cert=$CERT_FILE
Anthos Service Mesh
kubectl create -n istio-system secret generic $SECRET_NAME \ --from-file=key=$KEY_FILE \ --from-file=cert=$CERT_FILE
- 配置替换文件中的
virtualhosts
属性:virtualhosts: - name: $ENVIRONMENT_GROUP_NAME tlsMode: SIMPLE # Note: SIMPLE is the default, so it is optional. sslSecret: $SECRET_NAME
配置 mTLS
您可以在入站流量网关上配置 mTLS,而不是配置单向 TLS。有两种配置 mTLS 的方法,如下所述。
方法 1:密钥/证书对和 CA 文件
在替换文件的 virtualhosts
属性中,提供含有 SSL 证书和密钥文件的证书授权机构 (CA) 证书:
virtualhosts:
- name: $ENVIRONMENT_GROUP_NAME
tlsMode: MUTUAL
caCertPath: "$CA_FILE"
sslCertPath: "$CERT_FILE"
sslKeyPath: "$KEY_FILE"
其中 $ENVIRONMENT_GROUP_NAME 是具有相应主机别名的环境组的名称,$CA_FILE 是授权证书,$CERT_FILE 和 $KEY_FILE 是 TLS 密钥和证书文件。请参阅创建 TLS 证书。
方法 2:Kubernetes Secret
创建两个 Kubernetes Secret。第一个 Secret 用于 SSL 证书/密钥对,第二个 Secret 用于 CA。然后,将它们添加到替换文件中。
- 使用以下两个命名空间之一创建两个 Kubernetes Secret:
apigee
命名空间(如果您使用的是 Apigee 入站流量网关)。istio-system
命名空间(如果您使用的是客户安装的 Anthos Service Mesh)。
Apigee 入站流量网关
kubectl create -n apigee secret generic $SECRET_NAME \ --from-file=key=$KEY_FILE \ --from-file=cert=$CERT_FILE
Anthos Service Mesh
kubectl create -n istio-system secret generic $SECRET_NAME \ --from-file=key=$KEY_FILE \ --from-file=cert=$CERT_FILE
- 为 CA 创建 Secret:
Apigee 入站流量网关
kubectl create -n apigee secret generic $SECRET_NAME-cacert \ --from-file=cacert=$CA_FILE
Anthos Service Mesh
kubectl create -n istio-system secret generic $SECRET_NAME-cacert \ --from-file=cacert=$CA_FILE
- 配置替换文件中的
virtualhosts
属性:virtualhosts: - name: $ENVIRONMENT_GROUP_NAME tlsMode: MUTUAL # Note: Be sure to specify MUTUAL sslSecret: $SECRET_NAME